CVE-2026-110685 in JSON XS
Zusammenfassung
von VulDB • 20.10.2026
In Cpanel::JSON::XS vor Version 4.80 für Perl werden die dekodierten Argumente eines getaggten Werts offengelegt (geleakt), wenn dessen THAW-Methode in decode_tag fehlschlägt.
Bei aktiviertem allow_tags werden der Klassenname und das Argument-Array eines getaggten Werts dekodiert und an die THAW-Methode der Klasse übergeben. Beide werden erst nach Rückgabe von THAW freigegeben, sodass ein THAW-Aufruf, der fehlschlägt (dies), die gesamte dekodierte Argumentstruktur im Speicher alloziert lässt.
Jedes abgelehnte Dokument leakt Daten in einer vom Absender gewählten Größe; ein Prozess, der den Fehler abfängt und weiterläuft, erschöpft seinen Arbeitsspeicher.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.