CVE-2026-15743

ŚrednieCVSS 5.7

Opublikowano: 20/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 21/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Catalyst::Plugin::Static::Simple w wersjach do 0.38 dla Perla oznacza odpowiedzi jako publicznie cache'owane. Metoda _serve_static zawsze ustawia nagłówek Cache-Control na "public" bez możliwości jego nadpisania, co powoduje, że proxy mogą przechowywać treść w współdzielonej pamięci podręcznej i używać jej w odpowiedziach na żądania innych użytkowników, w tym z nagłówkiem Authorization. Ustawienie czasu wygaśnięcia na "0" w celu wyłączenia cache'owania jest ignorowane.

Ocena ryzyka

Ryzyko polega na tym, że wrażliwe dane (np. treści chronione autoryzacją) mogą być przechowywane w publicznych pamięciach podręcznych i udostępniane innym użytkownikom, co może prowadzić do wycieku informacji.

Rekomendacja

Zaktualizuj Catalyst::Plugin::Static::Simple do wersji nowszej niż 0.38, jeśli dostępna jest poprawka, lub zastosuj inne mechanizmy kontroli cache'owania, aby uniemożliwić publiczne buforowanie odpowiedzi.

Inne podatności w Catalyst::Plugin::Static::Simple

CVE-2017-16248Wysokie
Moduł Catalyst-Plugin-Static-Simple w wersji przed 0.34 dla Perla umożliwia zdalnym atakującym odczyt dowolnych plików, jeśli w ścieżce znajduje się znak '.' co jest sprzeczne z zamierzoną polityką, która zezwala na dostęp tylko wtedy, gdy sam nazwa pliku zawiera znak '.'.

Oryginalny opis (angielski, źródło NVD)

Catalyst::Plugin::Static::Simple versions through 0.38 for Perl mark responses as publicly cacheable. The _serve_static method always sets the Cache-Control header to "public", with no means of overriding it. This advises proxies that the content may be stored in a shared cache, and may be reused in responses to requests from other users. (This includes requests with an Authorization header.) Configuring the expires time to "0" to disable caching, as documented, is ignored.