CVE-2026-118993
Publiée le 2026-10-30 · Dernière modification le 2026-10-30
Les versions de CallBackery antérieures à 0.62.0 constituent un module Perl utilisé pour gérer l'envoi de requêtes pour des applications web. Lorsqu'il est exécuté sous CGI, FastCGI ou PSGI, le logiciel gère incorrectement le chemin de la requête en insérant du texte fourni par l'utilisateur directement dans une expression régulière. Cela crée une faille permettant à un client de contrôler à la fois le modèle de recherche et le texte recherché.
Un attaquant peut envoyer une requête non authentifiée, spécialement conçue, contenant une « référence arrière » (backreference) qui force le serveur à effectuer un calcul exponentiel. Cela consomme toutes les ressources CPU disponibles pour le processus worker, entraînant un déni de service qui rend l'application indisponible pour les utilisateurs légitimes. Comme cela ne nécessite qu'une simple requête réseau et aucun identifiant de connexion, l'exécution est triviale.
RÉFÉRENCES
Description officielle du NVD (en anglais)
CallBackery versions before 0.62.0 for Perl allow denial of service via the request path interpolated as a regular expression under CGI, FastCGI and PSGI. The before_dispatch hook installed by startup() removes PATH_INFO from the end of the request URI with a substitution that interpolates PATH_INFO unquoted. Under CGI, FastCGI and PSGI both values come from the request, so the client chooses both the pattern and the string it is matched against. A short unauthenticated request with a backreference in the path backtracks exponentially and can keep a worker process busy for minutes.