CVE-2026-78190
Niskie ryzyko· EPSS 15%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
WebDyne w wersjach od 2.014 przed 3.022 dla Perla odzwierciedla parametry żądania bez escapowania w wartościach pól formularza, umożliwiając cross-site scripting. Znaczniki textfield, password_field i filefield wypełniają atrybut value z parametru żądania o tej samej nazwie, a WEBDYNE_CGI_AUTOESCAPE domyślnie jest wyłączone. Od wersji 2.022 WebDyne::HTML::Tiny zastąpiło metodę entity_encode wersją zwracającą dane wejściowe bez zmian, więc włączenie WEBDYNE_CGI_AUTOESCAPE nie działa.
Ocena ryzyka
Zdalny atakujący może wstrzyknąć skrypt do dowolnej strony używającej tych znaczników poprzez spreparowany link, co może prowadzić do kradzieży sesji lub działań w imieniu użytkownika. Ryzyko dotyczy wszystkich użytkowników odwiedzających podatne strony.
Rekomendacja
Zaktualizuj WebDyne do wersji 3.022 lub nowszej. Do czasu aktualizacji ręcznie escapuj wartości pól formularza i nie polegaj na WEBDYNE_CGI_AUTOESCAPE.
Inne podatności w WebDyne
Zobacz wszystkie- CVE-2026-78192Niskie ryzyko· EPSS 13%
WebDyne w wersjach od 2.022 przed 3.022 dla Perla ujawnia kod źródłowy aplikacji nieuwierzytelnionym klientom poprzez przeglądarkę źródeł na domyślnej stronie indeksu. Domyślnie włączona strona indeksu zwraca pliki spod katalogu dokumentów wskazane w parametrze source żądania HTMX, w tym pliki .psp, .pm i .pl. Zdalny atakujący może odczytać kod Perla aplikacji, w tym bloki __PERL__ stron .psp oraz przechowywane w nich dane uwierzytelniające.
- CVE-2026-78191Niskie ryzyko· EPSS 39%
WebDyne w wersjach od 2.031 przed 3.022 dla Perla wykonuje pliki mające .psp w dowolnym miejscu nazwy jako strony Perla. Decyzja o uruchomieniu pliku jako strony opiera się na dopasowaniu nazwy do WEBDYNE_PSP_EXT_RE, które nie ma zakotwiczenia końca. Aplikacja sprawdzająca tylko końcowe rozszerzenie przy uploadach pozwala zdalnemu atakującemu wgrać plik taki jak report.psp.pdf i uruchomić jego osadzony Perl poprzez żądanie.
- CVE-2026-78189Niskie ryzyko· EPSS 16%
WebDyne w wersjach od 3.007 przed 3.022 dla Perla wykonuje pliki .psp spoza katalogu dokumentów poprzez path traversal w fallbacku trasy API PSGI. Gdy żądanie nie pasuje do żadnego pliku, handler PSGI ponawia je jako trasę API przez api_filename, zachowując segmenty .. w ścieżce i sprawdzając jedynie, czy złączona ścieżka zaczyna się od katalogu dokumentów, co żądanie /../private przechodzi. Zdalny atakujący może uruchomić osadzony Perl w dowolnym czytelnym pliku .psp, np. wgranym poza katalog dokumentów.
- CVE-2026-78188Niskie ryzyko· EPSS 2%
WebDyne w wersjach od 2.014 przed 3.022 dla Perla wysyła ciasteczka sesji bez atrybutów Secure, HttpOnly i SameSite. WebDyne::Session ustawia ciasteczko sesji tylko z nazwą, wartością i ścieżką. Przeglądarki wysyłają wtedy identyfikator sesji przez zwykły HTTP oraz w żądaniach cross-site i udostępniają go skryptom strony.
Oryginalny opis (angielski, źródło NVD)
WebDyne versions from 2.014 before 3.022 for Perl reflect request parameters unescaped into form field values, allowing cross-site scripting. The textfield, password_field and filefield tags fill their value attribute from the request parameter of the same name. WEBDYNE_CGI_AUTOESCAPE, which controls escaping of these values, defaults to off. From 2.022, WebDyne::HTML::Tiny also replaced its entity_encode method with one that returns its input unchanged, so enabling WEBDYNE_CGI_AUTOESCAPE has no effect. A remote attacker can inject script into any page using these tags through a crafted link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS