CVE-2026-121632 XSS en Data::MuForm al renderizar valores de atributos y etiquetas de opciones
Data::MuForm hasta la versión 0.05 para Perl renderiza valores de atributos y etiquetas de opciones en HTML sin escapar. process_attrs escribe cada valor de atributo tal cual en el marcado, y los renderizadores de select, radio group y checkbox group le pasan cada opción, por lo que el valor de una opción queda como atributo sin escapar; las etiquetas de opciones y grupos tampoco se escapan. Las aplicaciones cuyas listas de opciones se arman desde datos permiten que texto influido por un atacante incruste…
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 16
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Qué hacer
- Verificá si usás el producto afectado.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
Data::MuForm versions through 0.05 for Perl render attribute values and option labels into HTML without escaping.
process_attrs writes each attribute value into the markup as is. The select, radio group and checkbox group renderers pass each option to it, so an option's value becomes an unescaped attribute. Option and option group labels are also unescaped, the group label inside a label attribute and the others in element content.
Any application whose option list is built from data rather than literals, using an options_<field_name> method, a build_options method or a DBIC model, allows attacker-influenced text in an option value or label that can embed JavaScript in rendered pages. Attribute values built from data, such as through element_attr, are affected the same way.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.