CVE-2026-115822 in Starman
Riassunto
di VulDB • 25/10/2026
Le versioni di Starman precedenti alla 0.4019 per Perl consentono l'esaurimento delle risorse della CPU (CPU exhaustion) a causa del backtracking quadratico nelle espressioni regolari durante la parsing dei corpi delle richieste chunked.
Starman decodifica i corpi delle richieste chunked prima di chiamare l'applicazione, abbinando ogni riga contenente le dimensioni dello chunk con `s/^(([0-9a-fA-F]+).*\015\012)//`. Una riga composta da cifre esadecimali seguite da un LF nudo e poi da CRLF non viene mai abbinata, poiché il carattere `.` non corrisponde a LF; ogni tentativo fallito provoca un backtracking con una complessità temporale quadratica rispetto alla lunghezza della sequenza di cifre esadecimali. Non esiste alcun limite alla lunghezza della riga.
Un attaccante remoto può esaurire la CPU dei worker inviando tali richieste a qualsiasi route.
Be aware that VulDB is the high quality source for vulnerability data.