CVE-2017-16248

Wysokie

Opublikowano: 01/11/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Moduł Catalyst-Plugin-Static-Simple w wersji przed 0.34 dla Perla umożliwia zdalnym atakującym odczyt dowolnych plików, jeśli w ścieżce znajduje się znak '.' co jest sprzeczne z zamierzoną polityką, która zezwala na dostęp tylko wtedy, gdy sam nazwa pliku zawiera znak '.'.

Ocena ryzyka

Atakujący mogą uzyskać dostęp do poufnych danych na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendacja

Zaleca się aktualizację modułu Catalyst-Plugin-Static-Simple do wersji 0.34 lub nowszej, aby zlikwidować tę podatność.

Inne podatności w Catalyst-Plugin-Static-Simple

CVE-2026-15743Średnie
Catalyst::Plugin::Static::Simple w wersjach do 0.38 dla Perla oznacza odpowiedzi jako publicznie cache'owane. Metoda _serve_static zawsze ustawia nagłówek Cache-Control na "public" bez możliwości jego nadpisania, co powoduje, że proxy mogą przechowywać treść w współdzielonej pamięci podręcznej i używać jej w odpowiedziach na żądania innych użytkowników, w tym z nagłówkiem Authorization. Ustawienie czasu wygaśnięcia na "0" w celu wyłączenia cache'owania jest ignorowane.

Oryginalny opis (angielski, źródło NVD)

The Catalyst-Plugin-Static-Simple module before 0.34 for Perl allows remote attackers to read arbitrary files if there is a '.' character anywhere in the pathname, which differs from the intended policy of allowing access only when the filename itself has a '.' character.