CVE-2026-121632
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wersje Data::MuForm do 0.05 dla Perla renderują wartości atrybutów i etykiety opcji do formatu HTML bez ucieczki.
Process_attrs zapisuje każdą wartość atrybutu w znaczniku w niezmienionej postaci. Moduły renderujące zaznaczenie, grupę radiową i grupę pól wyboru przekazują do niej każdą opcję, więc wartość opcji staje się atrybutem bez zmiany znaczenia. Etykiety opcji i grup opcji również nie są pomijane, etykieta grupy znajduje się wewnątrz atrybutu etykiety, a pozostałe w treści elementu.
Dowolna aplikacja, której lista opcji jest zbudowana z danych, a nie z literałów, przy użyciu metody options_<nazwa_pola>, metody build_options lub modelu DBIC, umożliwia atakującemu umieszczenie tekstu w wartości opcji lub etykiecie, która może osadzić JavaScript w renderowanych stronach. Na wartości atrybutów zbudowane na podstawie danych, na przykład poprzez element_attr, wpływa to w ten sam sposób.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org