PT-2026-36018 · Unknown · Plack::Middleware::Xsendfile
Cpansec
·
Publicado
2026-04-29
·
Atualizado
2026-05-18
·
CVE-2026-7381
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Plack::Middleware::XSendfile versões anteriores a 1.0053
Descrição
O Plack::Middleware::XSendfile permite que a configuração de variação (tipo de sendfile) seja controlada pelo cliente através do cabeçalho
X-Sendfile-Type, caso não esteja definida no construtor do middleware ou no ambiente Plack. Um cliente mal-intencionado pode definir o cabeçalho X-Sendfile-Type como "X-Accel-Redirect" para serviços operando atrás de proxies reversos nginx e, em seguida, utilizar o cabeçalho X-Accel-Mapping para mapear o caminho para um arquivo arbitrário no servidor, permitindo a reescrita de caminho controlada pelo cliente.Recomendações
Atualize para uma versão posterior a 1.0053, visto que o Plack::Middleware::XSendfile está depreciado desde a versão 1.0053 e será removido de versões futuras do Plack.
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Plack::Middleware::Xsendfile