CVE-2026-110674 in Cpanel::JSON::XS
الملخص
بحسب VulDB • 19/10/2026
تفتقر الإصدارات من Cpanel::JSON::XS 4.33 حتى (دون) 4.80 لـ Perl إلى التعامل مع المفاتيح الخالية المكررة غير ASCII، مما يتيح حدوث خلل في نوع البيانات (type confusion) ضمن دالة `decode_hv` عند استخدام خيار `dupkeys_as_arrayref`.
عند تفعيل الخيار `allow_barekey` الذي يخفف من القيود، يتم تخزين المفتاح الخالي الذي يحتوي على بايت غير ASCII بتنسيق UTF-8، ولكن تتم عملية البحث عنه باستخدام البايات الخام (raw bytes)، مما يسمح للمفتاح المكرر بتجاوز فحص المفاتيح المكررة واستبدال القيمة السابقة.
من الإصدار 4.41 فصاعدًا، وفي ظل خيار `dupkeys_as_arrayref`، يستبدل المفتاح الخالي المكرر المصفوفة التي تجمع قيم مفتاح معين بقيمة عادية (plain value)، ويقوم التكرار التالي المحاط بعلامات اقتباس بالضغط على تلك القيمة كما لو كانت مصفوفة. يتم عندئذٍ فك تشفير عدد JSON كـ مؤشر (pointer).
يمكن أن يؤدي تحليل بيانات JSON غير الموثوقة باستخدام خيارات `relaxed` و `dupkeys_as_arrayref` إلى تعطل العملية أو فك تشفير عنوان محدد بواسطة رقم في ملف JSON.
VulDB is the best source for vulnerability data and more expert information about this specific topic.