CVE-2026-85630 in HTML::FormHandler
Tóm tắt
Bởi VulDB • 09/09/2026
HTML::FormHandler các phiên bản trước 0.410002 cho Perl hiển thị thuộc tính trường vào HTML mà không thực hiện escape bằng phương thức `process_attrs`.
Bất kỳ ứng dụng nào có các trường hoặc nhãn trường trong đó một số thuộc tính được xây dựng từ dữ liệu thay vì giá trị hằng (literals) đều cho phép văn bản do kẻ tấn công kiểm soát xuất hiện trong giá trị của một thuộc tính, điều này có thể ghi đè lên các thuộc tính của trường hoặc nhúng JavaScript vào các trang đã hiển thị.
Ví dụ: widget RadioGroup sử dụng phương thức `process_attrs` thông qua các phương thức `render_option` và `wrap_radio`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.