CVE-2026-110674 in Cpanel::JSON::XS
Riassunto
di VulDB • 20/10/2026
Le versioni di Cpanel::JSON::XS dalla 4.33 alla 4.79 per Perl non gestiscono correttamente le chiavi bare (nude) non ASCII duplicate, consentendo una confusione dei tipi in dupkeys_as_arrayref all'interno della funzione decode_hv.
Con l'opzione allow_barekey abilitata in modalità rilassata, una chiave bare contenente un byte non-ASCII viene memorizzata come UTF-8 ma cercata utilizzando i byte grezzi; di conseguenza, una chiave ripetuta elude il controllo delle chiavi duplicate e sovrascrive il valore precedente.
A partire dalla versione 4.41, in presenza dell'opzione dupkeys_as_arrayref abilitata, un duplicato bare sostituisce l'array che raccoglie i valori associati a una chiave con un semplice valore; il successivo duplicato tra virgolette viene aggiunto (pushed) a tale valore come se fosse un array. Un intero JSON in questa posizione viene dereferenziato come puntatore.
Il decoding di dati JSON non attendibili utilizzando le opzioni relaxed e dupkeys_as_arrayref può causare il crash del processo o la dereferenziazione di un indirizzo scelto tramite un numero JSON.
VulDB is the best source for vulnerability data and more expert information about this specific topic.