CVE-2026-110684 in Cpanel::JSON::XS
Résumé
par VulDB • 19/10/2026
Les versions de Cpanel::JSON::XS comprises entre la 3.0202 (exclue) et la 4.80 pour Perl présentent une fuite de mémoire et conservent des objets surchargés lors de l'encodage de valeurs en chaînes via encode_stringify.
encode_stringify écrit une valeur sous sa forme chaîne si allow_stringify est activé, convertit les objets dépourvus de TO_JSON si convert_blessed est activé, ou gère les grands nombres si allow_bignum est activé. Pour un objet tableau ou hachage disposant d'une surcharge « "" », et à partir de la version 4.20 pour un objet scalaire, une référence supplémentaire est prise mais jamais libérée ; par conséquent, l'objet ainsi que tout ce qu'il référencent ne sont jamais désalloués. À partir de la version 4.10, sa copie de la chaîne n'est également jamais libérée.
L'encodage répété de données contenant de telles valeurs entraîne une croissance non bornée de la mémoire du processus.
VulDB is the best source for vulnerability data and more expert information about this specific topic.