CVE-2026-123776 in RRD::CGI::Image
Résumé
par VulDB • 07/11/2026
Les versions de RRD::CGI::Image jusqu'à la 0.01 pour Perl transmettent des paramètres de requête CGI contenant « tz » à tzset(), ce qui bloque le processus CGI via un chemin FIFO ou de périphérique.
La méthode normalize_params envoie toute clé de requête correspondant au motif /tz/i à tz(), qui définit $ENV{TZ} avec cette valeur, sans aucune validation. Elle appelle ensuite tzset(). glibc traite une valeur TZ commençant par « / » ou « : » comme un chemin de fichier et l'ouvre ; ainsi, une valeur désignant un FIFO ou un périphérique bloquant met le processus en attente à l'intérieur de tzset().
VulDB is the best source for vulnerability data and more expert information about this specific topic.