CVE-2026-118994

CallBackery w wersjach przed 0.62.0 dla Perla akceptuje sesyjne ciasteczka o dowolnym wieku wysłane w nagłówku X-Session-Cookie. Funkcja cookieConf() odrzuca ciasteczko starsze niż 300 sekund tylko wtedy, gdy przychodzi ono w parametrze zapytania xsc; to samo ciasteczko w nagłówku X-Session-Cookie jest akceptowane niezależnie od wieku.

CallBackery w wersjach przed 0.62.0 dla Perla umożliwia fałszowanie sesyjnych ciasteczek z powodu sekretu podpisującego generowanego za pomocą rand(). Sekret jest tworzony z dwóch wywołań wbudowanej funkcji rand(), która jest inicjowana 32-bitowym ziarnem, więc ma co najwyżej 2^32 możliwych wartości, a jedno podpisane ciasteczko wystarcza do przetestowania każdego kandydata offline.

CallBackery w wersjach przed 0.62.0 dla Perla przechowuje hasła użytkowników jako niesolone skróty HMAC-SHA1. Hasła są hashowane funkcją hmac_sha1_sum() z Mojo::Util bez klucza, bez soli i bez współczynnika pracy, więc identyczne hasła dają identyczne skróty, a odgadywanie jest szybkie.

CallBackery w wersjach przed 0.62.0 dla Perla wysyła użytkownikom ich własny skrót hasła oraz notatkę administracyjną przez getUserConfig. getUserConfig() zwraca cały wiersz cbuser, a getTableData() i getAllFieldValues() zwracają notatkę użytkownikom bez uprawnień administratora.

CallBackery w wersjach przed 0.62.0 dla Perla akceptuje nieoczekiwane wartości w polach formularzy sprawdzanych przez createRxValidator. Funkcja buduje /^${rx}$/ bez grupowania wzorca, więc alternatywa taka jak yes|no akceptuje wartości zaczynające się od yes lub kończące na no, a $ akceptuje wartość z końcowym znakiem nowej linii.

CallBackery w wersjach przed 0.62.0 dla Perla pozwala na atak odmowy usługi przez interpolację ścieżki żądania jako wyrażenia regularnego w CGI, FastCGI i PSGI. Hook before_dispatch usuwa PATH_INFO z końca URI podstawieniem, które interpoluje PATH_INFO bez cytowania, więc klient wybiera zarówno wzorzec, jak i dopasowywany ciąg.

CallBackery w wersjach przed 0.62.0 dla Perla pozwala na wykonanie poleceń systemowych przez polecenia powłoki sqlite3 w przywracanej kopii konfiguracji. restoreConfigBlob() przekazuje zrzut bazy do powłoki sqlite3, która wykonuje linie zaczynające się od kropki jako własne polecenia, więc .shell lub .system uruchamia polecenie systemowe, a .load ładuje kod natywny.

W CallBackery w wersjach przed 0.62.0 dla Perla kopie zapasowe konfiguracji są szyfrowane kluczem AES utworzonym przez dopełnienie hasła znakami "x" i przycięcie do 32 bajtów, bez soli i bez derywacji klucza. Pierwszy blok kopii zawiera 16-znakowe pole długości w formacie hex, więc odszyfrowanie jednego bloku potwierdza zgadywane hasło z pełną prędkością AES.

W CallBackery w wersjach przed 0.62.0 dla Perla podczas tworzenia kopii zapasowej konfiguracji pozostawiany jest w /tmp zrzut bazy danych konfiguracji z uprawnieniami do odczytu dla wszystkich. Funkcja getConfigBlob() zleca powłoce sqlite3 zapis zrzutu do /tmp/cbdump<pid> i nigdy go nie usuwa; plik dziedziczy umask procesu, a podłożony w tej przewidywalnej nazwie dowiązanie symboliczne jest podążane.

W CallBackery w wersjach przed 0.60.1 dla Perla nieuwierzytelnieni klienci mogą odczytać POD dowolnego pliku poprzez path traversal w trasie /doc. Trasa przekazuje żądaną nazwę do Pod::Simple::Search->find bez walidacji, a find dzieli nazwę po "::" i łączy części w ścieżkę pliku, więc nazwa taka jak "..::..::..::etc::motd" wychodzi poza @INC.