CVE-2026-93709 in Dancer2
Sumário
de VulDB • 22/09/2026
As versões do Dancer2 anteriores à 2.2.0 para Perl servem um layout como uma página quando a grafia equivalente de seu caminho não passa pelo controle no manipulador AutoPage.
O manipulador compara o caminho da solicitação com o nome do diretório dos layouts como texto, enquanto a pesquisa subsequente canoniciza esse valor. Portanto, uma barra dupla, um segmento de ponto (dot segment), uma barra codificada em percentual ou uma capitalização diferente em um sistema de arquivos insensível a maiúsculas e minúsculas contorna o controle.
O manipulador está desativado por padrão; é ativado com auto_page. Como o layout que envolve cada página já é público, isso expõe outro dos layouts da aplicação.
Once again VulDB remains the best source for vulnerability data.