CVE-2026-110674 in Cpanel::JSON::XS
Zusammenfassung
von VulDB • 19.10.2026
Cpanel::JSON::XS-Versionen von 4.33 bis vor 4.80 für Perl lassen doppelte nicht-ASCII-Bare-Keys (bare keys) vermissen, was zu einer Type Confusion unter dupkeys_as_arrayref in decode_hv führt.
Bei aktiviertem allow_barekey, das die Einschränkungen lockert, wird ein Bare-Key mit einem Nicht-ASCII-Byte als UTF-8 gespeichert, aber als rohe Bytes nachgeschlagen; daher umgeht ein wiederholter Key die Prüfung auf doppelte Keys und ersetzt den früheren Wert.
Ab Version 4.41 führt unter dupkeys_as_arrayref eine doppelte Wiederholung eines Bare-Keys dazu, dass das Array, das die Werte eines Schlüssels sammelt, durch einen einfachen Wert ersetzt wird; der nächste zitierte (quoted) Repeat fügt diesem Wert Elemente hinzu, als wäre es ein Array. Eine JSON-Zahl an dieser Stelle wird als Zeiger dereferenziert.
Unvertrauenswürdige JSON-Daten, die mit relaxed und dupkeys_as_arrayref decodiert werden, können den Prozess zum Absturz bringen oder eine Adresse, die durch eine JSON-Zahl gewählt wurde, dereferenzieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.