PT-2026-134512
CVE-2026-78190
·
Publicado
2026-10-31
·
Atualizado
2026-10-31
Descrição por
Pontuação
N/A
Não disponívelNão há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
WebDyne versions from 2.014 before 3.022 for Perl reflect request parameters unescaped into form field values, allowing cross-site scripting.
The textfield, password field and filefield tags fill their value attribute from the request parameter of the same name. WEBDYNE CGI AUTOESCAPE, which controls escaping of these values, defaults to off. From 2.022, WebDyne::HTML::Tiny also replaced its entity encode method with one that returns its input unchanged, so enabling WEBDYNE CGI AUTOESCAPE has no effect.
A remote attacker can inject script into any page using these tags through a crafted link.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾