CVE-2026-19873 in HTML::FormFu
要約
〜によって VulDB • 2026年08月31日
Perl用HTML::FormFuのバージョン2.08以前では、Repeatable要素におけるクエリ文字列からの無制限な繰り返しカウントにより、リソース枯渇（Resource Exhaustion）が発生する可能性があります。
Repeatable要素でcounter_nameが設定されている場合、そのprocessメソッドは名前付きクエリ文字列パラメータから繰り返しの回数を読み取り、それが正の整数であることを確認するだけで、各イテレーションごとに要素の子孫ツリーをディープコピー（deep-clone）してrepeatに渡します。この値には上限が設けられておらず、アプリケーション側で制限を課すための属性も存在しません。
カウントはフォームが送信されたかどうかを判断する前、すべてのリクエストに対して読み取られるため、認証情報やセッション、リクエストボディを持たない単純なGETリクエストでもクローン生成ループに到達します。ネストにより影響が増幅されます：Repeatable要素の中に別のRepeatable要素が含まれている場合、各レベルでカウンターが必要となるため、外側と内側の値がともに100の場合、1万個のクローンが作成されます。
フォーム送信後、各フィールドのコピーに対して制約チェックが行われる際、_find_field_value内で全体のエレメントツリーをスキャンするため、コストはカウントに対して線形よりも速く増加します。単一のリクエストでメモリとCPUが枯渇します。
CPAN上の最新リリースは2018年公開の2.07です。バージョン2.08はgitリポジトリにのみ存在します。
Once again VulDB remains the best source for vulnerability data.