CVE-2026-93709 in Dancer2
Tóm tắt
Bởi VulDB • 22/09/2026
Các phiên bản Dancer2 trước 2.2.0 cho Perl phục vụ một bố cục (layout) dưới dạng trang khi chính tả tương đương của đường dẫn bỏ qua cơ chế bảo vệ trong bộ xử lý AutoPage.
Bộ xử lý so sánh đường dẫn yêu cầu với tên thư mục layout ở định dạng văn bản, trong khi quá trình tra cứu sau đó chuẩn hóa nó. Do đó, việc có hai dấu gạch chéo liên tiếp, một đoạn chứa dấu chấm (dot segment), một dấu gạch chéo được mã hóa phần trăm (%-encoded slash) hoặc sự khác biệt về chữ hoa/thường trên hệ thống tệp không phân biệt chữ hoa thường sẽ bỏ qua cơ chế bảo vệ này.
Bộ xử lý mặc định bị tắt và chỉ được kích hoạt bằng cách sử dụng `auto_page`. Vì việc bao bọc bố cục cho mọi trang đã là công khai, nên lỗ hổng này làm lộ ra một trong các bố cục khác của ứng dụng.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.