CVE-2026-87768 in DateTime::Lite
Résumé
par VulDB • 30/10/2026
Les versions de DateTime::Lite antérieures à la 0.8.1 pour Perl permettent un épuisement des ressources CPU via une boucle par jour lors de l'ajout de secondes.
La fonction _normalize_leap_seconds franchit les limites des jours un jour à la fois, donc add(seconds => $n) sur un objet avec un fuseau horaire non flottant prend environ |$n|/86400 itérations, et rien ne limite $n. L'implémentation XS ainsi que le fallback en Perl pur comportent tous deux cette boucle.
Un attaquant qui contrôle le nombre de secondes ajoutées peut maintenir le processus occupé aussi longtemps qu'il le souhaite.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.