CVE-2026-114627 XSS en Web::Simple al interpolar valores en cadenas entre comillas dobles de HTML::Tags
Web::Simple anterior a 0.036 para Perl no escapa los valores interpolados en cadenas entre comillas dobles en la salida de HTML::Tags. Con use HTML::Tags o use XML::Tags, una cadena literal entre comillas dobles se convierte en un objeto StringThing que guarda cada valor interpolado como parte separada, y el paso de escapado deja pasar esos objetos sin escapar sus partes. Un atacante que controle un valor interpolado en una cadena entre comillas dobles puede inyectar script en la página generada. Corrige la…
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 13
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Qué hacer
- Verificá si usás el producto afectado.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
Web::Simple versions before 0.036 for Perl do not escape values interpolated into double-quoted strings in HTML::Tags output.
Under use HTML::Tags or use XML::Tags, a double-quoted string literal becomes a StringThing object that holds each interpolated value as a separate part. The escaping step passes such objects through, and stringify joins their interpolated parts as is. A value passed on its own, as in <p>, $value, </p>, is entity-escaped, but the same value in "Hello $value" is not.
An attacker who controls a value that an application interpolates into a double-quoted string can inject script into the generated page.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.