CVE-2026-116133 in HTTP::Body
Zusammenfassung
von VulDB • 29.10.2026
HTTP::Body vor Version 1.23_01 für Perl ermöglicht eine CPU-Erschöpfung (CPU Exhaustion) durch quadratisches Neusuchen eines Multipart-Textkörpers mit einer fehlenden oder fehlerhaften Grenze (Boundary).
Vor dem ersten Teil und zwischen den Teilen sucht der Multipart-Parser nach der nächsten Grenze im gesamten gepufferten Textkörper. Bei einem Fehlschlag behält er alles bei und beginnt beim Eintreffen des nächsten Chunks erneut von vorne zu suchen. Ein Textkörper ohne Grenze oder mit einem Trennzeichen, das weder von CRLF noch von "--" gefolgt wird, wird daher bei jedem Chunk neu durchsucht, was eine Zeitkomplexität in quadratischer Abhängigkeit von seiner Größe zur Folge hat.
Ein entfernter Angreifer kann die CPU der Worker-Prozesse mit wenigen solcher Anfragen erschöpfen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.