CGI pour Perl, dans les versions 4.62 à antérieures à 5.00, peut produire des URL contenant des apostrophes non échappées, ce qui permet une XSS si l’application les insère dans un attribut HTML entre apostrophes ou une chaîne JavaScript. Mettre à jour vers la version 5.00 ou ultérieure et éviter d’insérer ces valeurs sans encodage adapté au contexte.
Source : NVD — CVE-2026-120643
Analyse technique
Les fonctions url et self_url utilisent la méthode canonical de URI, qui peut laisser une apostrophe brute dans le chemin ou décoder celle d’un paramètre. Une application qui réutilise la valeur dans un contexte HTML ou JavaScript sans encodage correspondant peut être vulnérable à une XSS.
Impact, versions et correctif
Action recommandée
Mettre à jour CGI vers la version 5.00 ou ultérieure et encoder les URL selon le contexte de sortie.
Sources
Priorisation DFS : P4 · 1 source(s).