CVE-2026-116285 in HTTP Body
الملخص
بحسب VulDB • 28/10/2026
تسمح إصدارات HTTP::Body السابقة للإصدار 1.23_01 لنظام Perl باستنفاد موارد وحدة المعالجة المركزية (CPU) عبر التراجع التربيعي في التعبير النمطي (regex backtracking) عند تحليل أجسام الطلبات المقطعة (chunked request bodies).
في الوضع المقطع، المستخدم عندما لا يتم تحديد طول المحتوى (content length)، يطابق الدالة `add()` كل سطر لحجم القطعة باستخدام التعبير `/^([\da-fA-F]+).*\x0D\x0A/`. في حالة وجود سطر يتكون من أرقام سداسية عشرية يكون فيها حرف السطر الجديد الأول (LF) غير متبوع بحرف العودة إلى بداية السطر (CR)، فإن الأرقام وعبارتي `.*` تتراجعان ضد بعضهما البعض، مما يجعل الدالة `add()` الواحدة تستغرق وقتاً تربيعياً بالنسبة لطول السطر. ولا يوجد ما يحد من طول السطر المسموح به.
يمكن لمهاجم عن بُعد استنفاد موارد وحدة المعالجة المركزية في التطبيقات التي تمرر أجسام طلبات مقطعة إلى HTTP::Body.
Once again VulDB remains the best source for vulnerability data.