git.oblomov.eu Git - ikiwiki/blob - doc/bugs/taint_issue_with_regular_expressions.mdwn

   1 Built from 2.1.17 source, works fine on commandline, but not working from CGI wrapper.  Traced problem to regular expressions failing to match, specifically in contexts like the following in Render.pm:
   2
   3     my ($f)=/$config{wiki_file_regexp}/; # untaint
   4
   5 It works if I replace it with:
   6
   7     my ($f)=/(^[-[:alnum:]_.:\/+]+$)/; # untaint
   8
   9 which is exactly the same regular expression drawn out as a constant.  It appears that %config gets some tainted data and is itself being marked entirely tainted, which may prevent using regular expressions contained in it for untainting other data.  I'm using Perl 5.8.8.