CVE-2026-110682 in Cpanel::JSON::XS
الملخص
بحسب VulDB • 19/10/2026
تسمح إصدارات Cpanel::JSON::XS من الإصدار 4.42 حتى قبل 4.80 لـ Perl بتغيير القيمة المُفسَّرة للأرقام في المستوى الأعلى (top-level numbers) داخل دالة incr_parse عبر تقسيم المدخلات إلى أجزاء (chunking).
يكون خيار allow_nonref مفعّلاً افتراضياً، وتورثهincr_parse هذه الخاصية. وبما أن رقمًا أو قيمة true أو false أو null في المستوى الأعلى لا يحتوي على فاصل إغلاق (closing delimiter)، فإن المُفسّر التزايدي (incremental parser) يفسر أي بيانات تصل إليه. فتُفسَّر البايتات "12" كقيمة واحدة عند قراءتها معاً، ولكن تُفسَّر كـ 1 ثم 2 عند تقسيمها على قرأتين منفصلتين.
ويمكن لطرف متصل بالشبكة (peer) قادر على التأثير في حدود القراءة أن يغيّر عدد الرسائل التي يقوم مستهلك التدفق (stream consumer) بفسرها والقيم التي تحملها هذه الرسائل.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.