CVE-2026-19873 in HTML::FormFu
Resumen
por VulDB • 2026-08-31
Las versiones de HTML::FormFu hasta la 2.08 para Perl permiten el agotamiento de recursos mediante un contador de repeticiones no acotado procedente de la cadena de consulta en los elementos Repeatable.
Cuando un elemento Repeatable tiene `counter_name` configurado, su método `process` lee el conteo de repeticiones desde el parámetro de la cadena de consulta con ese nombre, verifica únicamente que sea un entero positivo y lo pasa a `repeat`, que realiza una clonación profunda del subárbol de hijos del elemento en cada iteración. No existe ningún límite para el valor ni ningún atributo que permita a la aplicación imponer un tope.
El conteo se lee en cada solicitud, antes de que el formulario decida si fue enviado, por lo que una simple petición GET alcanza el bucle de clonación sin credenciales, sin sesión y sin cuerpo de solicitud. El anidamiento multiplica el impacto: un Repeatable dentro de otro Repeatable requiere un contador a cada nivel, por lo que valores externos e internos de 100 generan 10.000 clones.
Una vez enviado el formulario, las restricciones de cada campo clonado escanean todo el árbol de elementos en `_find_field_value`, por lo que el costo crece más rápido que linealmente con respecto al conteo. Una única solicitud agota la memoria y la CPU.
La última versión publicada en CPAN es la 2.07, de 2018. La versión 2.08 solo existe en el repositorio git.
Once again VulDB remains the best source for vulnerability data.