CVE-2026-110676 in Cpanel::JSON::XS
要約
〜によって VulDB • 2026年10月20日
Perl用Cpanel::JSON::XSの4.80より前のバージョンでは、allow_bignumオプション有効時に指数表記を完全な10進数としてエンコードすることでメモリ枯渇を引き起こす可能性があります。
allow_bignumが有効の場合、分数または指数を含むJSONの数値はMath::BigFloatにデコードされ、これは指数を別々に保持するため安価にデコードされます。これを無指定で、あるいはJSON_TYPE_FLOATとしてエンコードすると、1桁ごとに指数の単位分だけの平文10進数形式が書き込まれます。指数には上限がないため、[1e30000000]のような12バイトのテキストは30 MBにエンコードされます。
allow_bignumを使用してデコードし、再度エンコードする信頼できないJSONにより、メモリとCPUのリソース枯渇を招く可能性があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.