CVE-2026-118988

CallBackery versions before 0.60.1 for Perl let unauthenticated clients read the POD of any file via path traversal in the /doc route

CVSS 3.1SCORE

N/A/ 10.0

Опубликовано

30 октября 2026 г.

Обновлено

30 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.60.1

Обновите пакет CallBackery до версии 0.60.1 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Неаутентифицированный Path Traversal в маршруте /doc фреймворка CallBackery позволяет читать произвольные файлы файловой системы через парсер POD-документации.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Маршрут /doc монтируется плагином документации глобально до выполнения проверок сессии. Переданный клиентом параметр без валидации поступает в вызов Pod::Simple::Search->find, который разделяет имя по разделителю :: и склеивает в системный путь. Пейлоады вида ..::..::..::etc::motd позволяют выйти за границы путей @INC.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Раскрытие конфиденциальной информации (LFI / Arbitrary File Read). Злоумышленник может получить содержимое любых системных файлов, доступных процессу сервера на чтение, если файл содержит POD-разметку или не имеет закрывающего тега =cut.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 0➔Fix: 0.60.1

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-118988: CallBackery versions before 0.60.1 for Perl let unauthenticated clients read the POD of any file via path traversal in the /doc route. URL: https://cve.futuretools.ru/cve/CVE-2026-118988

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_118988,
  title = {{CVE-2026-118988: CallBackery versions before 0.60.1 for Perl let unauthenticated clients read the POD of any file via path traversal in the /doc route}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-118988}},
  note = {Оперативный инженерный анализ киберугроз}
}