CVE-2026-78189 in WebDyne
Сводка
по VulDB • 31.10.2026
В версиях WebDyne от 3.007 до 3.022 для Perl файлы .psp выполняются вне корня документа (document root) из-за обхода пути (path traversal) в механизме резервного маршрутизации PSGI API.
Когда запрос не соответствует никакому файлу, обработчик PSGI повторяет его как маршрут к API через api_filename. При этом сегменты `..` в пути запроса сохраняются, и проверяется только то, что объединенный путь начинается с корня документа; таким образом, запрос `/../private` проходит эту проверку.
Удаленный злоумышленник может выполнить встроенный Perl-код из любого файла .psp, к которому имеет доступ сервер, например, из файла, загруженного в директорию вне корня документа.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.