Perl HTTP::Session CVE-2026-13575―CHI経由のmemcachedコマンド注入を修正

CPANSecは日本時間2026年11月1日19時46分、PerlのHTTP::SessionにCVE-2026-13575を登録しました。0.54未満のHTTP::Session::Store::CHIをmemcachedドライバーと組み合わせると、セッションIDからキャッシュのコマンドを注入できる問題です。確認したCNA情報にはCVSS評価はありません。

クライアントのCookieから得たセッションIDが、検証されずにCHIキャッシュへ渡ります。改行コードを含む値ではmemcachedのコマンドが途中で区切られ、後続の文字列が別のコマンドとして扱われます。専用のMemcachedストアには制御文字の検査がありますが、CHIストアには同じ検査がありませんでした。

修正版は0.54です。開発元の変更履歴では2026年6月27日UTCのリリースで、今回のCVE登録より前に制御文字と長すぎるIDの拒否が導入されています。HTTP::Sessionの利用有無だけでなく、ストアの種類とCHIのバックエンドを確認する必要があります。

利用者は0.54へ更新し、通常のログインとセッションの読み書きが成功することを確認してください。0.54の変更履歴は、このモジュールを非推奨とし、今後の保守・更新を行わないことも明記しています。開発元が案内するPlack::Middleware::Sessionへの移行は、今回の修正適用とは別に計画する必要があります。