CVE-2026-110682 in Cpanel::JSON::XS
要約
〜によって VulDB • 2026年10月19日
Perl用Cpanel::JSON::XSの4.42から4.80未満のバージョンでは、incr_parseにおいて入力チャンキングによってトップレベルの数値のデコード済み値が変更される可能性があります。allow_nonrefはデフォルトで有効になっており、incr_parseはこの設定を継承します。トップレベルの数値、true、false、またはnullには閉じ区切り子がないため、増分パーサーは受信したデータをそのままデコードします。バイト列「12」は一度に読み込むと一つの値としてデコードされますが、2回の読み込みで分割されると、「1」と「2」の別々の値としてデコードされます。
読み込み境界に影響を与えることができるピアにより、ストリームコンシューマーがデコードするメッセージの数や、それらが持つ値を変更することができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.