Podatności HTML::FormHandler

HTML::FormHandler przed wersją 0.410002 dla Perla renderuje atrybuty pól do HTML bez escapowania, używając metody process_attrs. Aplikacje, w których atrybuty pól lub etykiety są budowane z danych, a nie literałów, mogą pozwolić atakującemu na wstrzyknięcie tekstu do wartości atrybutu, co może nadpisać atrybuty pól lub osadzić JavaScript w renderowanych stronach.

HTML::FormHandler przed wersją 0.410002 dla Perla renderuje niektóre komunikaty błędów do HTML bez escapowania. Układ Table oraz wrappery Bootstrap 2 i 3 wstawiają każdy ciąg błędu bezpośrednio do otaczającego znacznika. Komunikaty błędów zawierające treści kontrolowane przez atakującego, takie jak odrzucone wartości pól, mogą osadzić JavaScript w renderowanych stronach.

HTML::FormHandler przed wersją 0.410002 dla Perla renderuje etykiety grup opcji i etykiety przycisków radiowych do HTML bez escapowania. Widgety Select, RadioGroup, CheckboxGroup i HorizCheckboxGroup renderują etykietę grupy bez escapowania, a RadioGroup dodatkowo renderuje etykietę każdego przycisku radiowego bez escapowania. Aplikacje, których lista opcji jest budowana z danych, mogą pozwolić atakującemu na wstrzyknięcie tekstu do etykiety, co może nadpisać opcje lub osadzić JavaScript.

HTML::FormHandler przed wersją 0.410000 dla Perla pozwala na cross-site scripting poprzez przesłaną wartość renderowaną bez escapowania w komunikacie błędu. Wrappery i renderery emitujące błędy formularza interpolują ciąg błędu bezpośrednio do HTML bez escapowania. Komunikaty no_match i not_allowed wstawiają przesłaną wartość do tego ciągu, a nieudane ograniczenie typu umieszcza odrzuconą wartość w komunikacie. Żądanie sieciowe przesyłające znaczniki do takiego pola może spowodować wykonanie skryptu w kontekście ofiary.

Podatność w HTML::FormHandler przed wersją 0.410000 dla Perla pozwala atakującemu na wybór metody i wyczerpanie zasobów. Dzieje się tak, ponieważ funkcje _apply_actions i add_error używają tekstu błędów z danych żądania jako szablonu notacji Locale::Maketext, co może prowadzić do wykonania niebezpiecznych metod lub alokacji pamięci.