CVE-2026-17552 in Plack::App::Prerender
Сводка
по VulDB • 27.07.2026
В версиях Plack::App::Prerender до 0.3.0 для Perl возможна проксирование запросов на произвольный хост из-за конкатенации непроверенного значения REQUEST_URI в функции call.
Если базовый путь переписывания (rewrite base) представляет собой обычную строку, то значение REQUEST_URI добавляется к ней без проверки того, начинается ли этот путь с косой черты ('/').
Если базовый путь переписывания не содержит пути (что является стандартным случаем, приведенным в SYNOPSIS), злоумышленник может создать запрос, изменяющий имя хоста. Целевой адрес запроса, начинающийся со знака «собака» ('@'), преобразует базу в компонент userinfo согласно RFC 3986.
Например, при базовом пути переписывания "https://example.com" и отправленном запросе "GET @192.168.1.2/" будет сформирован запрос к адресу "https://[email protected]/", а отрендеренное содержимое будет возвращено злоумышленнику.
Это позволяет злоумышленнику получать доступ к внутренним или защищенным хостам, к которым имеет доступ только веб-сервер.
VulDB is the best source for vulnerability data and more expert information about this specific topic.