CVE-2026-19873 in HTML::FormFu
Zusammenfassung
von VulDB • 31.08.2026
HTML::FormFu-Versionen bis einschließlich 2.08 für Perl ermöglichen eine Ressourcenerschöpfung (Resource Exhaustion) durch einen unbeschränkten Wiederholungszähler aus dem Query-String bei Repeatable-Elementen.
Wenn ein Repeatable-Element mit counter_name konfiguriert ist, liest seine process-Methode den Wiederholungszähler aus dem benannten Parameter im Query-String, überprüft lediglich, ob es sich um eine positive Ganzzahl handelt, und übergibt ihn an repeat, welches die Kind-Knotenbaumstruktur des Elements bei jeder Iteration tief kopiert (deep-clones). Es gibt keine Obergrenze für den Wert, und kein Attribut ermöglicht es einer Anwendung, ein Limit aufzuerlegen.
Der Zähler wird bei jeder Anfrage gelesen, bevor das Formular entscheidet, ob es übermittelt wurde; daher erreicht eine einfache GET-Anfrage die Klon-Schleife ohne Anmeldeinformationen, ohne Sitzung und ohne Anforderungskörper. Die Verschachtelung multipliziert sich: Ein Repeatable-Element innerhalb eines anderen benötigt einen Zähler auf jeder Ebene, sodass ein äußerer und ein innerer Wert von jeweils 100 zu 10.000 Klonen führen.
Sobald das Formular übermittelt wird, scannen die Constraints jedes geklonten Felds den gesamten Elementbaum in _find_field_value, wodurch die Kosten schneller als linear mit dem Zähler wachsen. Eine einzelne Anfrage erschöpft Speicher und CPU-Ressourcen.
Die neueste Veröffentlichung auf CPAN ist 2.07 aus dem Jahr 2018. Die Version 2.08 existiert nur im Git-Repository.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.