نسخه‌های پیش از 0.54 از ماژول HTTP::Session در زبان برنامه‌نویسی Perl، دارای یک آسیب‌پذیری از نوع تزریق دستور (Command Injection) هستند. این نقص امنیتی از طریق شناسه‌های نشست (Session IDs) فیلتر نشده در ماژول HTTP::Session::Store::CHI قابل بهره‌برداری است.
در این آسیب‌پذیری، Session ID که از طریق کوکی کلاینت ارسال می‌شود، بدون هیچ‌گونه تغییری یا فیلترینگ به حافظه کش CHI می‌رسد. در حالی که ماژول هم‌خانواده HTTP::Session::Store::Memcached شناسه‌های حاوی کاراکترهای کنترلی (Control Characters) را رد می‌کند، درایور CHI فاقد چنین بررسی امنیتی است. علاوه بر این، CHI کلیدها را برای درایورهای memcached خود Escape نمی‌کند.
مهاجم می‌تواند با استفاده از کاراکترهای CR (Carriage Return) و LF (Line Feed) در Session ID، دستور کش را زودتر از موعد پایان داده و از این طریق دستورات مخرب خود را تزریق کند.
