Veille sécuritéFrontend
P4Non déterminée
Les versions de CGI pour Perl antérieures à 5.00 peuvent construire des URL ou des actions de formulaire à partir de REQUEST_URI sans validation, permettant notamment des redirections vers un autre hôte. Selon la forme de l’URL, cela peut aussi produire une URL javascript: ou provoquer une injection de script.
JavaScript
IdentifiantCVE-2026-120636
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif5.00
Source : NVD — CVE-2026-120636
Analyse technique
Les fonctions url(-absolute=>1), url(-relative=>1) et l’action par défaut de start_form utilisent REQUEST_URI fourni par le client sans validation.
Impact, versions et correctif
Événement datéLa fiche indique une publication le 2026-11-04T00:17:24.867Z, soit le 2026-11-04 à 02:17:24+02:00, dans la période retenue.
ImpactDes URL générées à partir d’une requête contrôlée par le client peuvent rediriger vers un autre hôte ou contenir une URL javascript:.
Versions affectéesVersions de CGI pour Perl antérieures à 5.00
Version corrigée5.00
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,21% · percentile 11,6%
Publication2026-11-04T00:17:24.867Z
Mise à jour2026-11-04T18:42:35.810Z
Action recommandée
Mettre à niveau CGI vers la version 5.00 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).