CVE-2026-7381
Açıklama
Perl için Plack::Middleware::XSendfile'ın 1.0053 dahil önceki sürümleri, istemci tarafından kontrol edilen yol yeniden yazımına izin verebilir. Plack::Middleware::XSendfile; ara katman oluşturucuda veya Plack ortamında dikkate alınmadığı takdirde, varyasyon ayarının (sendfile türü) istemci tarafından X-Sendfile-Type başlığı aracılığıyla belirlenmesine izin verir. Kötü niyetli bir istemci, nginx ters proxy'leri arkasında çalışan servisler için X-Sendfile-Type başlığını "X-Accel-Redirect" olarak ayarlayabilir ve ardından yolu sunucudaki rastgele bir dosyaya eşlemek için X-Accel-Mapping başlığını belirleyebilir. 1.0053 sürümünden itibaren Plack::Middleware::XSendfile kullanımdan kaldırılmıştır ve Plack'in gelecek sürümlerinden çıkarılacaktır. Bu durum, Rack::Sendfile için olan CVE-2025-61780 ile benzerdir; ancak Plack::Middleware::XSendfile, eşlemede düzenli ifadelerin (regular expressions) kullanılmasına izin vermeyen ve eşlemeyi yalnızca "X-Accel-Redirect" türü için uygulayan bazı hafifletici önlemlere sahiptir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| miyagawa plack\ | \ ≤ v ≤ 1.0053 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.