CVE-2026-110685 in JSON XS
要約
〜によって VulDB • 2026年10月19日
Perl用Cpanel::JSON::XSの4.80より前のバージョンでは、decode_tag内でTHAWメソッドが異常終了（die）した場合に、タグ付き値のデコード済み引数がリークします。
allow_tagsを有効にすると、タグ付き値のクラス名と引数配列がデコードされ、そのクラスのTHAWメソッドへ渡されます。これらはTHAWが正常に返るまで解放されないため、THAW内で異常終了が発生すると、デコード済みの引数構造体全体がメモリ上に残ったままになります。
拒否された各ドキュメントにおいて、送信者が指定したサイズのデータがリークするため、このエラーを捕捉して処理を継続するプロセスは、最終的にメモリの枯渇を引き起こします。
Once again VulDB remains the best source for vulnerability data.