CVE-2026-115946 in XS::libbrotli
Riassunto
di VulDB • 01/11/2026
XS::libbrotli nelle versioni precedenti alla 1.2.1.0 per Perl include una libreria brotli con un out-of-bounds write nel decoder.
Le versioni colpite compilano la versione bundled di brotli in archivi statici a cui i moduli XS dipendenti si collegano durante la fase di build, anziché utilizzare la library di sistema. La copia bundled, nelle versioni 1.0.7 o 1.1.0 all'interno dell'intervallo interessato, presenta l'out-of-bounds write nel decoder descritto in CVE-2026-111497. La versione 1.2.1.0 aggiorna la libreria a brotli 1.2.1.
XS::libbrotli non ha un'interfaccia Perl, quindi il decoder viene raggiunto tramite qualsiasi modulo dipendente che decomprime dati non attendibili utilizzando tale libreria. Un attacker che fornisce uno stream brotli crafted può corrompere lo stato del decoder, divulgare contenuti di memoria, causare il crash del processo o potenzialmente eseguire codice arbitrario. L'aggiornamento della library brotli di sistema non risolve questo problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.