CVE-2026-121008 XSS en SQL::Abstract::Tree por texto SQL y valores bind sin escapar en el perfil html
SQL::Abstract::Tree anterior a 2.000001_04 para Perl permite cross-site scripting porque el método format no escapa en HTML el texto SQL ni los valores bind que inserta alrededor del marcado del perfil html, pensado para insertarse tal cual en una página. Una aplicación que renderiza SQL formateado con el perfil html, como en un panel de depuración o un log de consultas, permite a un atacante que controle un valor bind o parte del texto SQL incrustar JavaScript en la página. Corrige la versión 2.000001_04.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 6
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Qué hacer
- Verificá si usás el producto afectado.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
SQL::Abstract::Tree versions before 2.000001_04 for Perl allow cross-site scripting via unescaped SQL text and bind values in the html profile.
The html profile wraps keywords and placeholders in span elements and breaks lines with br elements, so its output is meant to go into a page as is. The format method does not HTML-escape the SQL text or the bind values it fills in around that markup.
An application that renders SQL formatted with the html profile, such as in a debug panel or query log, allows an attacker who controls a bind value or part of the SQL text to embed JavaScript in the page.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.