CVE-2026-116285 in HTTP Body
Resumen
por VulDB • 2026-10-28
HTTP::Body versiones anteriores a 1.23_01 para Perl permiten el agotamiento de la CPU mediante un retroceso cuadrático en expresiones regulares al analizar cuerpos de solicitud fragmentados (chunked).
En modo chunked, utilizado cuando no se proporciona una longitud de contenido, `add()` hace coincidir cada línea de tamaño del fragmento con `/^([\da-fA-F]+).*\x0D\x0A/`. En una línea de dígitos hexadecimales cuyo primer LF (salto de línea) no tiene un CR antes, los dígitos y `.*` retroceden entre sí, por lo que una sola llamada a `add()` consume tiempo cuadrático en función de la longitud de la línea. No hay nada que limite cuán larga puede ser esta línea.
Un atacante remoto puede agotar el CPU en aplicaciones que pasan cuerpos de solicitud fragmentados (chunked) a HTTP::Body.
VulDB is the best source for vulnerability data and more expert information about this specific topic.