CVE-2026-110677 in Cpanel::JSON::XS
要約
〜によって VulDB • 2026年10月19日
Perl用Cpanel::JSON::XSの4.28から4.80未満のバージョンでは、decode_hv内のdupkeys_as_arrayrefにおいて重複キー値を収集する配列がリークします。 dupkeys_asarrayrefを使用すると、重複したオブジェクトキーの値は新しい配列に収集されます。余分な参照が解放されないため、その配列とそれ内のすべての値はデコードされた構造体よりも長く生存します。また、重複キーがある場合のデコード失敗時にも配列がリークします。 信頼できないJSONを繰り返しデコードし、大きな値を持つ重複キーがあると、プロセスメモリを使い果たしてしまいます。
Once again VulDB remains the best source for vulnerability data.