Amazon Linux 2:perl-Template-Toolkit、 --advisory ALAS2-2026-3345 (ALAS-2026-3345)

medium Nessus プラグイン ID 319839

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている perl-Template-Toolkit のバージョンは、 2.24-5 より前です。したがって、ALAS2-2026-3345 のアドバイザリに記載されている脆弱性の影響を受けます。

Perl 用の 3.102 を通じた emplate::P lugin::HTML バージョンでは、HTML および JavaScript が注入される可能性があります。html_filter 関数が一重引用符をエスケープしませんでした。一重引用符の中の HTML 属性に、コードが注入される可能性があります。たとえば、 <a id='ref' title='[% var | html %]'> の変数 var は適切にエスケープされません。攻撃者は、一部の制限された HTML および JavaScript を挿入できます(例: var = ' onclick='while (true) { alert(1) }' 任意の HTML および JavaScript は、かぎ括弧、アンパサンド、および二重引用符が依然としてエスケープされるため、注入するのは困難です。(CVE-2026-5090)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。