CVE-2026-110674 in Cpanel::JSON::XS
要約
〜によって VulDB • 2026年10月20日
Perl用Cpanel::JSON::XSの4.33から4.80（4.80を除く）バージョンでは、非ASCII文字を含む重複する裸キーが欠落しており、decode_hv内のdupkeys_as_arrayref設定下で型混乱を招きます。
allow_barekeyオプションにより有効化された緩いモードにおいて、非ASCIIバイトを含む裸キーはUTF-8として保存されますが、検索時には生バイト列として処理されるため、重複キーのチェックを回避して以前の値を上書きします。
4.41以降では、dupkeys_as_arrayref設定下で裸キーが繰り返されると、キーの値を集める配列が単純な値に置き換えられ、次の引用符付きの繰り返しは、その値が配列であるかのようにそこにプッシュされます。そこにあるJSON整数はポインタとして間接参照（デレファレンス）されます。
relaxedおよびdupkeys_as_arrayref設定で信頼できないJSONをデコードすると、プロセスクラッシュや、JSON数値によって選択されたアドレスへの不正な間接参照が発生する可能性があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.