CVE-2026-19872

Perl için HTML::FormHandler 0.410000 öncesi sürümler, bir hata mesajında kaçış karakterleri uygulanmadan işlenen gönderilmiş bir değer aracılığıyla siteler arası betik çalıştırmaya (XSS) izin verir. Bir formun hatalarını yayınlayan sarmalayıcılar ve oluşturucular, hata dizesini herhangi bir kaçış işlemi yapmadan doğrudan HTML içine yerleştirir. Kütüphanenin kendi mesajlarından ikisi olan no_match ve not_allowed, gönderilen değeri bu dizeye ekler; ayrıca başarısız olan bir tip kısıtlaması, reddedilen değeri oluşturduğu mesaja yerleştirir ve _apply_actions bunu add_error fonksiyonuna iletir. Özel bir doğrulayıcı ve varsayılan dışı bir yapılandırma olmaksızın, bir kontrol düzenli ifadesi (regexp), bir kontrol listesi veya bir tip kısıtlaması ile tanımlanan bir alan bu mesajlara ulaşır. Uygulamanın kendi kaçış şablon katmanı üzerinden oluşturulan hatalar, kütüphanenin oluşturma rollerinden farklı olarak etkilenmez. Böyle bir alana işaretleme (markup) gönderen ağ üzerindeki bir istek, bunu hata span'i içinde canlı olarak geri alır ve mağdurun kökeninde (origin) betik çalıştırır. Reddedilen bir değerin daha sonra yeniden oluşturulması, saklanan varyantı sunar.