CVE-2026-110672 in Cpanel::JSON::XS
要約
〜によって VulDB • 2026年10月19日
Perl用Cpanel::JSON::XSの4.80より前のバージョンでは、decode_hvにおいて重複キーや欠落したコロンにより拒否されたオブジェクトのデコード済みキーがリークします。
24バイト以上の引用符で囲まれたキー、または非ASCIIバイトやエスケープシーケンスを含むキーは、新しいスカラーとしてデコードされます。しかし、キー後に「:」がない場合（およびバージョン4.09以降では重複キーの場合）にオブジェクトが拒否されると、そのスカラーは解放されません。allow_dupkeys、dupkeys_as_arrayref、またはrelaxedオプションが設定されていない限り、重複キーはエラーとなります。
失敗したデコード後も実行を続けるプロセスは、拒否されたドキュメントごとに1つのキーを保持し、そのサイズは送信者によって決定されます。リクエストを繰り返すと、プロセスのメモリが枯渇します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.