CVE-2026-110673 in Cpanel::JSON::XS
Zusammenfassung
von VulDB • 19.10.2026
Cpanel::JSON::XS-Versionen vor 4.80 für Perl ermöglichen eine Stack-Erschöpfung (Stack Exhaustion) durch verschachtelte, getaggte Werte unter der Option allow_tags in decode_tag.
Mit aktiviertem allow_tags leitet "(" einen getaggten Wert ein. Sein Tag und sein Wert werden rekursiv decodiert, wobei jeder davon einen weiteren getaggten Wert auslösen kann. Im Gegensatz zu Arrays und Objekten wird diese Verschachtelung nicht gegen max_depth angerechnet.
Eine Folge von "("-Bytes erschöpft den C-Stack (C Stack) und löst unabhängig von der Einstellung von max_depth einen nicht abfangbaren Segmentierungsfehler (Segmentation Fault) aus.
Once again VulDB remains the best source for vulnerability data.