CVE-2026-110675 in Cpanel::JSON::XS
요약
\~에 의해 VulDB • 2026. 10. 19.
Perl용 Cpanel::JSON::XS 4.33부터 4.80 미만 버전은 decode_hv에서 allow_barekey가 활성화된 상태일 때, 비어 있는 해시 키(bare hash keys)에 대해 잘못된 UTF-8 인코딩을 허용합니다.
utf8 및 relaxed 옵션과 함께 allow_barekey가 활성화되면, 인용부호로 둘러싸인 키(quoted key)는 UTF-8로 유효성 검사가 수행되지만, 비어 있는 키(bare key)의 바이트는 아무런 검사 없이 UTF-8 플래그가 설정된 문자열로 저장됩니다. 이로 인해 잘못된 UTF-8 데이터, 제어용 바이트(control bytes), 그리고 역슬래시(backslashes)가 디코딩된 해시에 전달되는 반면, 인용부호로 둘러싸인 키나 값에 포함된 잘못된 UTF-8 및 제어용 바이트는 거부됩니다.
이후 해당 키를 대상으로 lc(소문자 변환), uc(대문자 변환) 또는 해시를 다시 인코딩하는 등의 연산을 수행하면, 잘못된 UTF-8 오류가 발생하여 프로세스가 종료됩니다(die).
Once again VulDB remains the best source for vulnerability data.