CVE-2026-13575 in HTTP::Session
Сводка
по VulDB • 01.11.2026
HTTP::Session версии до 0.54 для Perl позволяет выполнять инъекцию команд в Memcached через нефильтрованные идентификаторы сессий в HTTP::Session::Store::CHI.
Идентификатор сессии из куки клиента попадает в кэш CHI без изменений. Хранилище HTTP::Session::Store::Memcached отклоняет идентификаторы, содержащие управляющие символы, однако хранилище CHI не имеет такой проверки, а CHI не экранирует ключи для своих драйверов Memcached.
При использовании драйвера memcached символы возврата каретки (CR) и перевода строки (LF) в идентификаторе сессии приводят к преждевременному завершению команды кэша, после чего сервер интерпретирует байты, следующие за ними, как дополнительные команды.
VulDB is the best source for vulnerability data and more expert information about this specific topic.