CVE-2026-85630
NieznaneStreszczenie
HTML::FormHandler przed wersją 0.410002 dla Perla renderuje atrybuty pól do HTML bez escapowania, używając metody process_attrs. Aplikacje, w których atrybuty pól lub etykiety są budowane z danych, a nie literałów, mogą pozwolić atakującemu na wstrzyknięcie tekstu do wartości atrybutu, co może nadpisać atrybuty pól lub osadzić JavaScript w renderowanych stronach.
Ocena ryzyka
Ryzyko obejmuje wstrzyknięcie skryptów (XSS) i modyfikację wyglądu lub zachowania formularzy, co może prowadzić do kradzieży danych lub przejęcia sesji użytkowników.
Rekomendacja
Zaktualizuj HTML::FormHandler do wersji 0.410002 lub nowszej. Upewnij się, że wszystkie dane używane do budowania atrybutów są odpowiednio escapowane.
Inne podatności w HTML::FormHandler
Zobacz wszystkie- CVE-2026-85485Nieznane
HTML::FormHandler przed wersją 0.410002 dla Perla renderuje niektóre komunikaty błędów do HTML bez escapowania. Układ Table oraz wrappery Bootstrap 2 i 3 wstawiają każdy ciąg błędu bezpośrednio do otaczającego znacznika. Komunikaty błędów zawierające treści kontrolowane przez atakującego, takie jak odrzucone wartości pól, mogą osadzić JavaScript w renderowanych stronach.
- CVE-2026-85484Nieznane
HTML::FormHandler przed wersją 0.410002 dla Perla renderuje etykiety grup opcji i etykiety przycisków radiowych do HTML bez escapowania. Widgety Select, RadioGroup, CheckboxGroup i HorizCheckboxGroup renderują etykietę grupy bez escapowania, a RadioGroup dodatkowo renderuje etykietę każdego przycisku radiowego bez escapowania. Aplikacje, których lista opcji jest budowana z danych, mogą pozwolić atakującemu na wstrzyknięcie tekstu do etykiety, co może nadpisać opcje lub osadzić JavaScript.
- CVE-2026-19872Nieznane
HTML::FormHandler przed wersją 0.410000 dla Perla pozwala na cross-site scripting poprzez przesłaną wartość renderowaną bez escapowania w komunikacie błędu. Wrappery i renderery emitujące błędy formularza interpolują ciąg błędu bezpośrednio do HTML bez escapowania. Komunikaty no_match i not_allowed wstawiają przesłaną wartość do tego ciągu, a nieudane ograniczenie typu umieszcza odrzuconą wartość w komunikacie. Żądanie sieciowe przesyłające znaczniki do takiego pola może spowodować wykonanie skryptu w kontekście ofiary.
- CVE-2022-4993Krytyczne
Podatność w HTML::FormHandler przed wersją 0.410000 dla Perla pozwala atakującemu na wybór metody i wyczerpanie zasobów. Dzieje się tak, ponieważ funkcje _apply_actions i add_error używają tekstu błędów z danych żądania jako szablonu notacji Locale::Maketext, co może prowadzić do wykonania niebezpiecznych metod lub alokacji pamięci.
Oryginalny opis (angielski, źródło NVD)
HTML::FormHandler versions before 0.410002 for Perl render field attributes into HTML without escaping using the process_attrs method. Any application with fields or field labels where some attributes are built from data rather than literals allows attacker-influenced text in an attribute value that can override the field attributes or embed JavaScript in rendered pages. For example, the RadioGroup widget uses the process_attrs method via the render_option and wrap_radio methods.