CVE-2026-85485
NieznaneStreszczenie
HTML::FormHandler przed wersją 0.410002 dla Perla renderuje niektóre komunikaty błędów do HTML bez escapowania. Układ Table oraz wrappery Bootstrap 2 i 3 wstawiają każdy ciąg błędu bezpośrednio do otaczającego znacznika. Komunikaty błędów zawierające treści kontrolowane przez atakującego, takie jak odrzucone wartości pól, mogą osadzić JavaScript w renderowanych stronach.
Ocena ryzyka
Ryzyko obejmuje wstrzyknięcie skryptów (XSS) poprzez komunikaty błędów, co może prowadzić do wykonania złośliwego kodu w przeglądarce ofiary.
Rekomendacja
Zaktualizuj HTML::FormHandler do wersji 0.410002 lub nowszej, która rozwiązuje ten problem. Upewnij się, że komunikaty błędów są odpowiednio escapowane.
Inne podatności w HTML::FormHandler
Zobacz wszystkie- CVE-2026-85630Nieznane
HTML::FormHandler przed wersją 0.410002 dla Perla renderuje atrybuty pól do HTML bez escapowania, używając metody process_attrs. Aplikacje, w których atrybuty pól lub etykiety są budowane z danych, a nie literałów, mogą pozwolić atakującemu na wstrzyknięcie tekstu do wartości atrybutu, co może nadpisać atrybuty pól lub osadzić JavaScript w renderowanych stronach.
- CVE-2026-85484Nieznane
HTML::FormHandler przed wersją 0.410002 dla Perla renderuje etykiety grup opcji i etykiety przycisków radiowych do HTML bez escapowania. Widgety Select, RadioGroup, CheckboxGroup i HorizCheckboxGroup renderują etykietę grupy bez escapowania, a RadioGroup dodatkowo renderuje etykietę każdego przycisku radiowego bez escapowania. Aplikacje, których lista opcji jest budowana z danych, mogą pozwolić atakującemu na wstrzyknięcie tekstu do etykiety, co może nadpisać opcje lub osadzić JavaScript.
- CVE-2026-19872Nieznane
HTML::FormHandler przed wersją 0.410000 dla Perla pozwala na cross-site scripting poprzez przesłaną wartość renderowaną bez escapowania w komunikacie błędu. Wrappery i renderery emitujące błędy formularza interpolują ciąg błędu bezpośrednio do HTML bez escapowania. Komunikaty no_match i not_allowed wstawiają przesłaną wartość do tego ciągu, a nieudane ograniczenie typu umieszcza odrzuconą wartość w komunikacie. Żądanie sieciowe przesyłające znaczniki do takiego pola może spowodować wykonanie skryptu w kontekście ofiary.
- CVE-2022-4993Krytyczne
Podatność w HTML::FormHandler przed wersją 0.410000 dla Perla pozwala atakującemu na wybór metody i wyczerpanie zasobów. Dzieje się tak, ponieważ funkcje _apply_actions i add_error używają tekstu błędów z danych żądania jako szablonu notacji Locale::Maketext, co może prowadzić do wykonania niebezpiecznych metod lub alokacji pamięci.
Oryginalny opis (angielski, źródło NVD)
HTML::FormHandler versions before 0.410002 for Perl render some error messages into HTML without escaping. The Table form layout and the Bootstrap 2 and 3 wrappers splice each error string straight into the surrounding markup. Version 0.410000, the fix for CVE-2026-19872, escaped the equivalent values in the other layouts and wrappers, and 0.410002 extended that to these three. Error messages that contain attacker-influenced content such as rejected field values could embed JavaScript in rendered pages.