CVE-2026-19872

Perl üçün HTML::FormHandler-in 0.410000 versiyasından əvvəlki versiyaları, xəta mesajında escape edilmədən göstərilən göndərilmiş dəyər vasitəsilə saytlararası skriptinqə (XSS) yol açır. Formanın xətalarını çıxaran wrapper və renderer-lər xəta sətrini heç bir escape prosesi olmadan birbaşa HTML-ə interpolasiya edir. Kitabxananın özünün iki mesajı olan no_match və not_allowed, göndərilmiş dəyəri həmin sətirə daxil edir və uğursuz tip məhdudiyyəti rədd edilmiş dəyəri yaratdığı mesaja yerləşdirir ki, bu da _apply_actions tərəfindən add_error funksiyasına ötürülür. Custom validator və standartdan kənar konfiqurasiya olmadan, check regexp, check list və ya tip məhdudiyyəti ilə təyin edilmiş sahə həmin mesajlara çatır. Kitabxananın rendering rolları əvəzinə tətbiqin öz escape şablon layı vasitəsilə göstərilən xətalar buna təsir etmir. Şəbəkə üzərindən belə bir sahəyə markup göndərən sorğu, onu xəta span-ı daxilində aktiv şəkildə geri alır və qurbanın mənşəyində (origin) skripti işə salır. Rədd edilmiş dəyərin sonradan yenidən render edilməsi onun saxlanılmış variantını verir.