Cyber ·
WebDyne para Perl: cinco CVEs com cookies, path traversal e reflexão sem escape
Aviso sobre cinco falhas no WebDyne para Perl: cookies de sessão sem atributos de segurança, execução de arquivos fora do document root e reflexão de parâmetros sem escape. As versões anteriores à 3.022 aparecem como afetadas.
O aviso, publicado em 31 de outubro de 2026 na lista oss-sec e assinado por Robert Rothenberg, descreve cinco falhas no WebDyne para Perl, incluindo atributos ausentes em cookies, path traversal e reflexão de parâmetros sem escape. O texto disponível é uma tradução automática e detalha apenas três delas.
CVE-2026-78188: versões a partir da 2.014 e anteriores à 3.022 emitem cookies de sessão sem os atributos Secure, HttpOnly e SameSite. CVE-2026-78189: versões a partir da 3.007 e anteriores à 3.022 executam arquivos .psp fora do document root por path traversal no fallback da rota da API PSGI. CVE-2026-78190: versões a partir da 2.014 e anteriores à 3.022 refletem parâmetros da requisição sem escape em campos de formulário.
Para quem usa o pacote, o primeiro passo é verificar a versão instalada e planejar a atualização para a 3.022, limite indicado no aviso. As outras duas falhas do título não são descritas no trecho, e a lista original deve ser consultada para conferir detalhes e recomendações do autor.
A Rota Nacional não corrige bibliotecas de terceiros nem substitui a atualização do servidor. Quando uma aplicação chama a API, o detector de dados pessoais aplica a política da organização antes de qualquer modelo, e o conteúdo bruto fica apenas no arquivo de auditoria cifrado com AES-256-GCM. Se alguém usar IA para estudar o aviso, não deve colar cookies, tokens, logs de sessão ou dados de clientes no prompt; prefira trechos sintéticos.