Информационный

Патч

Опубликована

CVE-2026-120638

CGI versions before 5.00 for Perl allow open redirects via HTML entity decoding of the URL after application validation in redirect

Публикация: 04.11.2026·Обновлена: 04.11.2026, 21:42·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

CGI versions before 5.00 for Perl allow open redirects via HTML entity decoding of the URL after application validation in redirect. redirect decodes HTML entities in its URL before writing the Location header, so a URL the application has already validated can change meaning. For example, //evil.example/ becomes //evil.example/ and sends the user to another host.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Плановое окно после оценки применимости

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Upgrade to CGI 5.00 or later.

CVE Record: CPANSec ↗

3. Временные меры

For deployments that cannot upgrade, reject redirect URLs that HTML entity decoding would change.

CVE Record: CPANSec ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

{
  "status": "affected",
  "version": "0",
  "lessThan": "5.00",
  "versionType": "custom"
}

CVSS: оценки и векторы

Оценка CVSS отсутствует.

Классы CWE

CWE-180 · Неправильный порядок поведения: валидация перед канонизацией CWE-601 · Перенаправление на недоверенный адрес

Источники и ссылки

Материал · metacpan.org · cve Материал · metacpan.org · cve Исправление · github.com · cve Материал · nvd.nist.gov · ghsa Материал · github.com · ghsa CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:14:52.585496+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-11-03T23:46:27.669765+00:00"
  },
  "scores": [],
  "status": {
    "source": "cve",
    "received_at": "2026-11-03T23:46:27.669765+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-11-03T23:46:27.669765+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:14:52.585496+00:00"
  },
  "references": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-11-03T23:46:27.669765+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 00:14
Данные обновлены04.11.2026, 03:42
Появились сведения об исправлении04.11.2026, 02:46