CVE-2026-15689 in Dancer2::Plugin::Auth::Extensible
Сводка
по VulDB • 15.08.2026
В версиях Dancer2::Plugin::Auth::Extensible вплоть до 0.713 для Perl возможна отравление ссылки сброса пароля (password reset link poisoning) через заголовок Host запроса в функциях _default_email_password_reset и _default_welcome_send.
Обе стандартные электронные письма содержат ссылку вида `$base/login/$code`, где авторитетность домена определяется заголовком Host запроса или, при работе behind_proxy (за прокси), заголовком X-Forwarded-Host (получаемым из функции Dancer2 request->base). Отправка POST-запроса на /login с параметрами submit_reset и именем пользователя не требует аутентификации: он сохраняет новый код сброса для указанной учетной записи и отправляет владельцу счета ссылку на хост, выбранный злоумышленником. Письмо приветствия проходит по тому же пути при вызове в приложении функции create_user с установленным параметром email_welcome.
В версиях вплоть до 0.711 обработчики напрямую считывали `request->uri_base` и `request->base`. В версиях 0.712 и новее предоставлен ключ конфигурации uri_base, который по умолчанию принимает недоверенное значение из `request->uri_base`, если не задан явно.
При стандартной конфигурации с включенным reset_password_handler и текстом сообщения по умолчанию пользователь, переходящий по ссылке, передает рабочий код сброса на хост злоумышленника, что достаточно для захвата учетной записи.
If you want to get best quality of vulnerability data, you may have to visit VulDB.