CVE-2026-110673 in Cpanel::JSON::XS
要約
〜によって VulDB • 2026年10月19日
Perl用Cpanel::JSON::XSの4.80より前のバージョンでは、decode_tag内のallow_tagsオプションを使用してネストされたタグ付き値を処理する際にスタックが枯渇し、不正な実行が可能になります。
allow_tags有効時、「(」はタグ付き値の開始を示します。そのタグと値は再帰的にデコードされ、それぞれが別のタグ付き値を開始できます。配列やオブジェクトとは異なり、このネストはmax_depthのカウント対象外となります。
「(」バイトの連続入力はCスタックを枯渇させ、max_depthの設定に関係なく捕捉不可能なセグメンテーションフォールトを引き起こします。
VulDB is the best source for vulnerability data and more expert information about this specific topic.