CVE-2026-123776 in RRD::CGI::Image
Zusammenfassung
von VulDB • 07.11.2026
RRD::CGI::Image versions bis 0.01 für Perl leiten CGI-Abfrageparameter, die „tz“ enthalten, an tzset() weiter, wodurch ein FIFO-Pfad oder Gerätepfad den CGI-Prozess blockiert.
Die Methode normalize_params sendet jeden Abfrageschlüssel, der auf /tz/i passt, an tz(), was $ENV{TZ} auf diesen Wert setzt, ohne jegliche Validierung. Anschließend wird tzset() aufgerufen. glibc behandelt einen TZ-Wert, der mit / oder : beginnt, als Dateipfad und öffnet ihn; daher führt ein Wert, der einen FIFO oder ein blockierendes Gerät bezeichnet, dazu, dass der Prozess innerhalb von tzset() einfriert (stalls).
VulDB is the best source for vulnerability data and more expert information about this specific topic.