CVE-2026-85491

Wersje Catalyst::Seal wcześniejsze niż 0.03 dla Perla pozwalają na jedno żądanie wyłączenia ścieżki lub skierowanie późniejszego poza sprawdzenie autoryzacji za pomocą notatki wysyłkowej wpisanej wyłącznie na ścieżce żądania.

Catalyst::Seal zastępuje operację przygotowania_akcji dyspozytora wersją, która zapamiętuje sposób rozwiązania ścieżki: jaki typ wysyłki został dopasowany, na jakim poziomie i co pozostało jako argumenty. Kluczem jest ścieżka żądania i nic więcej. Role akcji pasujące do metody, typu treści, schematu lub zapytania powodują, że rozwiązanie zależy od stanu, którego nie zawiera klucz, więc notatka odpowiada na żądanie, z którego nie została zbudowana.

Ścieżka, która kończy się brakiem akcji, również jest zapamiętywana, a ponowne odtworzenie tego wpisu powoduje powrót bez sprawdzania jakiegokolwiek typu wysyłki, więc nie jest ustawiana żadna akcja i żądanie kończy się niepowodzeniem. Dlatego GET ścieżki, której akcja jest zadeklarowana tylko POST, wyłącza tę ścieżkę dla każdego późniejszego żądania, łącznie z poprawnym POST. Wpis, który został rozwiązany, odtwarza poziom osiągnięty wcześniej podczas zejścia. Gdy akcja wyłącznie POST znajduje się poniżej płytszej akcji na tej samej ścieżce, GET zapamiętuje płytką trasę i później wysyłany jest tam POST z funkcją auto() pilnującą, aby głębszy kontroler nigdy nie działał.

Notatka jest czyszczona tylko wtedy, gdy zostanie zarejestrowana akcja, co ma miejsce podczas konfiguracji, więc wpis obowiązuje przez cały czas trwania procesu, a jego limit wynoszący 2048 wpisów ogranicza liczbę ścieżek, które jeden wywołujący może wyłączyć. W zmierzonej konfiguracji błędna trasa prowadzi do mniej uprzywilejowanej akcji, więc jest to brak sprawdzania autoryzacji, a nie uzyskanie uprawnień.