Na, den Server knackt Dir keiner mehr! (SCNR)

Aber ernsthaft: Wenn Du prüfst, woher Deine Programme ihre Einträge in @INC beziehen, dann solltest Du diesem Problem schnell auf die Spur kommen.

Für viele Web-Anwendungen ist der Zugewinn durch Taint-Checking tatsächlich eher gering, weil der Anwender (=mögliche Angreifer) außer dem HTTP-Request keinen Hebel hat. Was per HTTP reinkommt, muss eh' von vorn bis hinten validiert werden, auch mit Varianten, die kein Browser erzeugt. Das ist beispielsweise auch die Rechtfertigung der Plack-Entwickler, warum sie ihren Code nicht taint-fest machen.

Wenn ein Produkt ein CLI ausliefert, vielleicht auch noch mit Teilen, die unter sudo ausgeführt werden, dann sieht die Sache schon anders aus. Da werden manche Flüchtigkeitsfehler, bei denen man nicht drandenkt, welche Schnittstelle welche Umgebungsvariablen auswertet, dank des Taint-Check gar nicht erst eingecheckt, und beim Testen merkt man schnell, wenn andere Plattformen andere Umgebungsvariablen nutzen.

Ihr Hirn müssen die Entwickler trotzdem benutzen, denn es ist viel bequemer, den Taint-Check einfach zu überlisten als nachzudenken, ob tatsächlich eine Angriffsmöglichkeit vorliegt. Und es gibt auch jede Menge von Schwachstellen, die Taint-Checking nicht finden kann.