CVE-2026-110672 in Cpanel::JSON::XS
Zusammenfassung
von VulDB • 20.10.2026
In Cpanel::JSON::XS vor Version 4.80 für Perl wird der dekodierte Schlüssel eines Objekts, das aufgrund eines doppelten Schlüssels oder eines fehlenden Doppelpunktes in decode_hv abgelehnt wurde, nicht freigegeben (Memory Leak).
Ein zitierter Schlüssel mit einer Länge von 24 Byte oder mehr, oder einer, der ein Nicht-ASCII-Byte oder eine Escape-Sequenz enthält, wird in einen neuen Scalar dekodiert. Dieser Scalar wird nicht freigegeben, wenn das Objekt aufgrund eines fehlenden ':' nach dem Schlüssel abgelehnt wird oder (ab Version 4.09) aufgrund eines doppelten Schlüssels. Doppelte Schlüssel sind ein Fehler, es sei denn, allow_dupkeys, dupkeys_as_arrayref oder relaxed ist aktiviert.
Ein Prozess, der auch nach einer fehlerhaften Dekodierung weiterläuft, behält einen Schlüssel pro abgelehntem Dokument bei, wobei die Größe vom Absender gewählt wird. Wiederholte Anfragen erschöpfen den Arbeitsspeicher des Prozesses.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.