CVE-2026-116135
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.3%
- CWE
- CWE-178
- KEV Durumu
- Hayır
Yayım tarihi: 28 Ekim 2026
HTTP::Body sürüm 1.23_01'den önceki sürümler için Perl, urlencoded form alanlarındaki karma durumlu yüzde kaçışlarını dekodlamak yerine atmaktadır. Dekodlama tablosu her hex çiftinin yalnızca tüm küçük harf ve tüm büyük harf yazımını içerir, ancak kaçış deseni her iki durumu da eşleştirebilir. %aB gibi bir kaçış, hiçbir girişi bulamaz ve yerine hiçbir şey konulmaz, böylece her iki tarafındaki baytlar birleştirilir. Yüzde kaçışlardaki hex basamakları büyük-küçük harf duyarlılığı göstermez ve uygun dekodlayıcılar baytı döndürür. Uzak bir saldırgan, bir alan adını veya değerini, uygulamanın önünde bulunan uygun bir dekodlayıcı tarafından farklı şekilde okunacak şekilde gönderebilir, böylece pass%aBword uygulamaya password olarak ulaşır.
Orijinal açıklama (İngilizce)
HTTP::Body versions before 1.23_01 for Perl drop mixed-case percent escapes from urlencoded form fields instead of decoding them. The decode table holds only the all-lowercase and all-uppercase spelling of each hex pair, while the escape pattern matches either case. An escape such as %aB finds no entry and is replaced with nothing, joining the bytes on either side. Hex digits in percent escapes are case-insensitive, and conforming decoders return the byte. A remote attacker can send a field name or value that a conforming decoder in front of the application reads differently, so that pass%aBword reaches the application as password.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.