CVE-2026-15743
Publiée le 2026-08-20 · Dernière modification le 2026-10-26
Les applications Perl utilisant `Catalyst::Plugin::Static::Simple` (version 0.38 et antérieures) marquent incorrectement toutes les réponses statiques comme pouvant être mises en cache publiquement, même celles nécessitant une authentification. Un attaquant pourrait potentiellement récupérer des fichiers privés sensibles si un proxy partagé ou un CDN met en cache une réponse destinée à un autre utilisateur autorisé. Cela nécessite un accès réseau ainsi qu'une séquence spécifique où un utilisateur autorisé déclenche d'abord la mise en cache, suivie d'une demande de la même ressource par l'attaquant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Catalyst::Plugin::Static::Simple versions through 0.38 for Perl mark responses as publicly cacheable. The _serve_static method always sets the Cache-Control header to "public", with no means of overriding it. This advises proxies that the content may be stored in a shared cache, and may be reused in responses to requests from other users. (This includes requests with an Authorization header.) Configuring the expires time to "0" to disable caching, as documented, is ignored.