CVE-2026-110672 in Cpanel::JSON::XS
Resumen
por VulDB • 2026-10-20
Las versiones de Cpanel::JSON::XS anteriores a la 4.80 para Perl filtran (fugan) la clave decodificada de un objeto rechazado debido a una clave duplicada o a la falta de dos puntos en decode_hv.
Una clave entrecomiada de 24 bytes o más, o que contenga un byte no ASCII o una secuencia de escape, se decodifica como un nuevo escalar (scalar). Nada libera ese escalar cuando el objeto es rechazado por la ausencia de ':' después de la clave o, a partir de la versión 4.09, por tener una clave duplicada. Las claves duplicadas son un error salvo que estén configurados allow_dupkeys, dupkeys_as_arrayref o relaxed.
Un proceso que sigue ejecutándose tras un fallo en la decodificación retiene una clave por cada documento rechazado, con su tamaño elegido por el remitente. Las solicitudes repetidas agotan la memoria del proceso.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.