WebDyne: Pfadüberschreitung (Path Traversal) (CVE-2026-78189)

Was ist betroffen, was ist zu tun

Versionen von WebDyne ab 3.007 bis einschließlich 3.022 für Perl führen .psp-Dateien außerhalb des Web-Roots über eine Pfad-Traversierungs-Schwachstelle in der PSGI-API-Route-Fallback aus. Wenn eine Anfrage mit keiner Datei übereinstimmt, versucht der PSGI-Handler, sie als API-Route über api_filename erneut zu verarbeiten.

Aktualisieren Sie WebDyne auf Version 3.022.

Betroffen

• WebDyne lt 3.007..3.022

Behoben in

• WebDyne 3.022

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Versionen von WebDyne ab 3.007 bis einschließlich 3.022 für Perl führen .psp-Dateien außerhalb des Web-Roots über eine Pfad-Traversierungs-Schwachstelle in der PSGI-API-Route-Fallback aus. Wenn eine Anfrage mit keiner Datei übereinstimmt, versucht der PSGI-Handler, sie als API-Route über api_filename erneut zu verarbeiten. Dabei werden die ..-Segment in dem Anfragepfad beibehalten und nur geprüft, ob der zusammengefügte Pfad mit dem Web-Root beginnt, was eine Anfrage für /../private erfüllt. Ein Angreifer aus der Ferne kann das eingebettete Perl in jeder .psp-Datei ausführen, die der Server lesen kann, wie z. B. eine in einem Verzeichnis außerhalb des Web-Roots hochgeladene Datei.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: ENISA EUVD, cvelistv5, NVD (NIST)

Weakness-Klassen (CWE)

• CWE-22Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

  Base

  The product uses external input to construct a pathname that is intended to identify a file or directory that is located underneath a restricted parent directory, but the product does not properly neutralize special elements within the pathname that can cause the pathname to resolve to a location that is outside of the restricted directory.

  Eintrag bei MITRE CWE-22

Quellen & Referenzen

• metacpan.orgrelease/ASPEER/WebDyne-3.022/changesRelease Notes, euvd

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 06.11.2026Eintrag geändertCISA ADP

   CVSS V3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: ja

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   CVSS	ergänzt	—	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-78189","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-11-06T14:34:31.408384Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

2. 31.10.2026Neu erfasstCPANSec

   Schwachstellentyp: CWE-22

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://metacpan.org/release/ASPEER/WebDyne-3.022/changes
   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	WebDyne versions from 3.007 before 3.022 for Perl execute .psp files outside the document root via path traversal in the PSGI API route fallback. When a request matches no file, the PSGI handler retries it as an API route through api_filename. That keeps .. segments in the request path and only checks that the joined path starts with the document root, which a request for /../private passes. A remote attacker can run the embedded Perl in any .psp file the server can read, such as one uploaded to a directory outside the document root.
   Schwachstellentyp (CWE)	ergänzt	—	CWE-22
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/78xxx/CVE-2026-78189.json">CVE-2026-78189</a>
   Referenz	ergänzt	—	https://metacpan.org/release/ASPEER/WebDyne-3.022/changes

   Kennung der Quelle: 9b29abf9-4ab0-4765-b253-1875cd9b441e