Podatności WebDyne

WebDyne w wersjach od 2.022 przed 3.022 dla Perla ujawnia kod źródłowy aplikacji nieuwierzytelnionym klientom poprzez przeglądarkę źródeł na domyślnej stronie indeksu. Domyślnie włączona strona indeksu zwraca pliki spod katalogu dokumentów wskazane w parametrze source żądania HTMX, w tym pliki .psp, .pm i .pl. Zdalny atakujący może odczytać kod Perla aplikacji, w tym bloki __PERL__ stron .psp oraz przechowywane w nich dane uwierzytelniające.

WebDyne w wersjach od 2.031 przed 3.022 dla Perla wykonuje pliki mające .psp w dowolnym miejscu nazwy jako strony Perla. Decyzja o uruchomieniu pliku jako strony opiera się na dopasowaniu nazwy do WEBDYNE_PSP_EXT_RE, które nie ma zakotwiczenia końca. Aplikacja sprawdzająca tylko końcowe rozszerzenie przy uploadach pozwala zdalnemu atakującemu wgrać plik taki jak report.psp.pdf i uruchomić jego osadzony Perl poprzez żądanie.

WebDyne w wersjach od 2.014 przed 3.022 dla Perla odzwierciedla parametry żądania bez escapowania w wartościach pól formularza, umożliwiając cross-site scripting. Znaczniki textfield, password_field i filefield wypełniają atrybut value z parametru żądania o tej samej nazwie, a WEBDYNE_CGI_AUTOESCAPE domyślnie jest wyłączone. Od wersji 2.022 WebDyne::HTML::Tiny zastąpiło metodę entity_encode wersją zwracającą dane wejściowe bez zmian, więc włączenie WEBDYNE_CGI_AUTOESCAPE nie działa.

WebDyne w wersjach od 3.007 przed 3.022 dla Perla wykonuje pliki .psp spoza katalogu dokumentów poprzez path traversal w fallbacku trasy API PSGI. Gdy żądanie nie pasuje do żadnego pliku, handler PSGI ponawia je jako trasę API przez api_filename, zachowując segmenty .. w ścieżce i sprawdzając jedynie, czy złączona ścieżka zaczyna się od katalogu dokumentów, co żądanie /../private przechodzi. Zdalny atakujący może uruchomić osadzony Perl w dowolnym czytelnym pliku .psp, np. wgranym poza katalog dokumentów.

WebDyne w wersjach od 2.014 przed 3.022 dla Perla wysyła ciasteczka sesji bez atrybutów Secure, HttpOnly i SameSite. WebDyne::Session ustawia ciasteczko sesji tylko z nazwą, wartością i ścieżką. Przeglądarki wysyłają wtedy identyfikator sesji przez zwykły HTTP oraz w żądaniach cross-site i udostępniają go skryptom strony.