CVE-2026-5090
Təsvir
Perl üçün Template::Plugin::HTML-in 3.103 versiyasından əvvəlki versiyaları HTML və JavaScript-in inyeksiya edilməsinə şərait yaradır. html_filter funksiyası tək dırnaqları (single quotes) filtrləmirdi. Tək dırnaqlar daxilindəki HTML atributlarına kod inyeksiya edilə bilərdi. Məsələn, aşağıdakı nümunədə "var" dəyişəni: <a id='ref' title='[% var | html %]'> düzgün şəkildə filtrlənməzdi. Hücumçu məhdud miqdarda HTML və JavaScript daxil edə bilərdi, məsələn: var = " ' onclick='while (true) { alert(1) }'" Nəzərə alın ki, ixtiyari HTML və JavaScript-in inyeksiya edilməsi çətin olardı, çünki bucaqlı mötərizələr (< >), ampersandlar (&) və cüt dırnaqlar hələ də filtrlənirdi.
Necə düzəltmək olar
- Template-Toolkit3.103 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Template-Toolkit | v < 3.103 | 3.103 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.