Cyber ·
Vulnerabilidades em versões do CGI para Perl anteriores à 5.00 (20 CVEs)
Aviso de segurança publicado na lista oss-sec reúne 20 CVEs no CGI para Perl anteriores à versão 5.00, com riscos de negação de serviço e esgotamento de CPU. O texto cita CGI::Cookie a partir da 4.67 e a confiança no cabeçalho X-Forwarded-Host.
O aviso, publicado em 3 de novembro de 2026 por Stig Palmquist na lista oss-sec, descreve 20 vulnerabilidades (CVEs) no módulo CGI para Perl anteriores à versão 5.00. Os problemas citados incluem negação de serviço e esgotamento de CPU. Entre os exemplos listados estão: CVE-2026-120631, em que as versões do CGI::Cookie a partir da 4.67 e anteriores à 5.00 permitem negação de serviço por meio do valor de expiração do cookie do cliente, usado como expressão regular no parse; CVE-2026-120632, em que uma expressão regular com retrocesso no processamento de Content-Type XForms multipart/related causa esgotamento de CPU; e CVE-2026-120633, em que o módulo confia no cabeçalho X-Forwarded-Host do cliente nas funções url, self_url, virtual_host e virtual_port. O texto original está truncado nesses pontos e não detalha a lista completa dos 20 identificadores.
Para consultar e verificar, use a mensagem original na lista oss-sec, indicada no próprio feed, e compare os identificadores CVE com a base oficial de CVEs e com o aviso do projeto Perl ou da distribuição que você usa. Confirme a versão instalada do CGI com o comando de módulos do Perl antes de qualquer decisão. O Rota Nacional não corrige bibliotecas de servidores web nem resolve estes problemas de engenharia; a recomendação é atualizar o módulo, de forma independente da plataforma.
Fonte original: Versões do CGI para Perl anteriores à 5.00 (20 CVEs)