CVE-2026-110684 in Cpanel::JSON::XS
要約
〜によって VulDB • 2026年10月20日
Perl用モジュールCpanel::JSON::XSの3.0202から4.80未満のバージョンでは、encode_stringifyにおいて値を文字列としてエンコードする際にメモリリークが発生し、オーバーロードされたオブジェクトが保持され続けます。
encode_stringifyは、allow_stringifyが有効な場合に値を文字列表記で出力します。また、TO_JSONメソッドを持たないオブジェクトに対してconvert_blessedが適用される場合や、allow_bignumが有効な場合にも同様の処理が行われます。""オーバーロードを持つ配列またはハッシュのオブジェクトにおいて（4.20以降ではスカラーオブジェクトでも）、余分な参照が取得されますが、これは解放されません。その結果、対象オブジェクトおよびそれが参照するすべてのリソースが解放されなくなります。さらに4.10以降では、文字列のコピーも解放されなくなりました。
このような値を含むデータを繰り返しエンコードすると、プロセスのメモリ使用量が無制限に増大します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.