CVE-2026-77568
ŚrednieCVSS 4.2Streszczenie
Mojolicious to framework webowy czasu rzeczywistego dla Perla. Przed wersją 9.48 pomocniki CSRF csrf_field, csrf_token i csrf_protect używają niezmienionego tokenu na sesję w renderowanym HTML. Gdy włączona jest kompresja odpowiedzi, a treść pod wpływem atakującego jest odbijana w tej samej odpowiedzi, nieuwierzytelniony atakujący, który może wywołać wiele żądań ofiary i obserwować rozmiary odpowiedzi, może wykorzystać kanał boczny kompresji BREACH do odzyskania tokenu i sfałszowania żądań cross-site. Wdrożenia tylko API, które nigdy nie renderują tokenu w HTML, nie są podatne. Problem naprawiono w wersji 9.48.
Ocena ryzyka
Atakujący może odzyskać token CSRF i sfałszować żądania cross-site w imieniu ofiary, co może prowadzić do nieautoryzowanych działań w aplikacji.
Rekomendacja
Zaktualizuj Mojolicious do wersji 9.48 lub nowszej.
Inne podatności w Mojolicious
Zobacz wszystkie- CVE-2026-68914Wysokie
Mojolicious to framework webowy czasu rzeczywistego dla języka Perl. Przed wersją 9.47, czysto-perlowa implementacja Mojo::JSON nie ogranicza głębokości zagnieżdżenia, gdy Cpanel::JSON::XS jest niedostępny lub włączono MOJO_NO_JSON_XS. Atakujący, który może dostarczyć niezaufany JSON do decode_json, from_json lub j, może przesłać głęboko zagnieżdżone tablice lub obiekty, powodując nieograniczoną rekurencję, wyczerpanie pamięci i awarię procesu. Aplikacje korzystające z backendu Cpanel::JSON::XS nie są dotknięte, ponieważ ten backend już egzekwuje limit głębokości. Problem naprawiono w wersji 9.47.
- CVE-2026-15747Krytyczne
Podatność w bibliotece Mojolicious dla Perla (wersje od 4.59 do 9.48) ujawnia stabilną reprezentację tokena CSRF sesji, co umożliwia atak BREACH. Token jest generowany raz na sesję i zwracany w ukrytym polu `csrf_token`, a gdy odpowiedź zawiera dane kontrolowane przez atakującego i jest kompresowana gzip, możliwe jest odtworzenie tokena.
Oryginalny opis (angielski, źródło NVD)
Mojolicious is a real-time web framework for Perl. Prior to 9.48, the Mojolicious CSRF helpers csrf_field, csrf_token, and csrf_protect reuse an unchanged per-session token in rendered HTML. When response compression is enabled and attacker-influenced content is reflected in the same response, an unauthenticated attacker who can induce many victim requests and observe response sizes can use a BREACH compression side channel to recover the token and forge cross-site requests. API-only deployments that never render the token in HTML are not affected. This issue is fixed in version 9.48.