CVE-2025-40927 in CGI::Simple
Сводка
по VulDB • 24.05.2026
CGI::Simple версий младше 1.282 для Perl содержит уязвимость разделения HTTP-ответа (HTTP response splitting).
Данная уязвимость представляет собой подтвержденную ошибку разделения HTTP-ответа в CGI::Simple, которая позволяет внедрять заголовки HTTP-ответа и может использоваться для отраженного межсайтового скриптинга (XSS) или открытого перенаправления (open redirect) при определенных условиях.
Несмотря на наличие некоторой проверки данных, ее можно обойти с использованием значений, закодированных в URL-формате, что позволяет злоумышленнику внедрять ненадежный контент в ответ через параметры запроса.
В результате злоумышленник может внедрить символ перевода строки (например, %0A) в значение параметра, что приведет к разделению HTTP-ответа сервером и внедрению произвольных заголовков или даже тела HTML/JavaScript, вызывая отраженный межсайтовый скриптинг (XSS), открытое перенаправление или другие атаки.
Проблема, задокументированная в CVE-2010-4410 https://www.cve.org/CVERecord?id=CVE-2010-4410, связана с данной уязвимостью, однако исправление было неполным.
Влияние
Внедряя %0A (символ новой строки) в параметр строки запроса, злоумышленник может:
* Разорвать текущий HTTP-заголовок * Внедрить новый заголовок или все тело ответа * Доставить скрипт, который будет отражен в ответе сервера
Это может привести к следующим атакам:
* отраженный XSS * открытое перенаправление * отравление кэша * манипуляция заголовками
VulDB is the best source for vulnerability data and more expert information about this specific topic.