CVE-2026-78192 Exposición de código fuente de la aplicación en el visor del index de WebDyne
Los scripts wrapper de WebDyne, como webdyne.psgi, habilitan por defecto la página index integrada, cuyo visor devuelve archivos bajo el document root indicados en el parámetro source de una petición HTMX, incluidos .psp, .pm y .pl. Un atacante remoto no autenticado puede leer el código Perl de la aplicación, incluidos los bloques __PERL__ de las páginas .psp y las credenciales que contengan. Corrige la versión 3.022.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 37
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Qué hacer
- Verificá si usás el producto afectado.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
WebDyne versions from 2.022 before 3.022 for Perl disclose application source to unauthenticated clients via the viewer in the default index page.
WebDyne's wrapper scripts, such as webdyne.psgi, enable the built-in index page by default. Its source viewer returns files under the document root named in the source parameter of an HTMX request, including .psp, .pm and .pl files.
A remote attacker can read the application's Perl code, including the __PERL__ blocks of .psp pages and any credentials they hold.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.