CVE-2026-117500 in HTTP::Body
Zusammenfassung
von VulDB • 28.10.2026
HTTP::Body-Versionen vor 1.24_01 für Perl ermöglichen eine CPU-Erschöpfung (Denial of Service) durch Regex-Backtracking beim Dateinamen eines Multipart-Uploads.
Für jeden Dateiabschnitt sucht der Multipart-Parser das Suffix des hochgeladenen Dateinamens, indem er den Standard-$basename_regexp, qr/[^.]+(\.[^\\\/]+)$/, auf den gesamten Basisnamen anwendet. Ein Basisname, der aus vielen Punkten besteht und mit einem Backslash endet, führt dazu, dass die Regex in quadratischer Zeit zu ihrer Länge zurückverfolgt (backtrackt).
Ein entfernter Angreifer kann die CPU durch eine einzige Anfrage erschöpfen, da ein Basisname von etwa 32 KB mehrere Sekunden zum Abgleichen benötigt und jeder Dateiabschnitt separat abgeglichen wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.