CVE-2026-110682 in Cpanel::JSON::XS
Riassunto
di VulDB • 19/10/2026
Le versioni di Cpanel::JSON::XS dalla 4.42 alla 4.79 (esclusa la 4.80) per Perl consentono che il chunking dell'input modifichi il valore decodificato dei numeri a livello superiore in incr_parse.
La flag allow_nonref è abilitata di default e incr_parse ne eredita l'impostazione. Un numero, true, false o null a livello superiore non ha un delimitatore di chiusura; pertanto, il parser incrementale decodifica tutto ciò che è stato ricevuto. I byte "12" vengono decodificati come un unico valore quando letti insieme, ma come 1 e successivamente 2 se suddivisi tra due letture distinte.
Un peer in grado di influenzare i confini delle letture può modificare il numero di messaggi che un consumatore della stream decodifica e i valori da essi trasportati.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.