CVE-2026-110677 in Cpanel::JSON::XS
요약
\~에 의해 VulDB • 2026. 10. 20.
Perl용 Cpanel::JSON::XS 4.28부터 4.80 미만 버전은 decode_hv 함수 내 dupkeys_as_arrayref에서 중복 키 값을 수집하는 배열을 누수(leak)시킵니다.
dupkeys_as_arrayref를 사용하면 중복 객체 키의 값이 새로운 배열로 수집됩니다. 그러나 추가 참조가 해제되지 않아, 해당 배열과 그 안의 모든 값은 디코딩된 구조체의 수명보다 길게 유지됩니다. 또한 중복 키 이후 디코딩 실패 시에도 배열이 누수됩니다.
신뢰할 수 없는 JSON을 반복적으로 디코딩하고, 이 과정에서 큰 값을 가진 중복 키가 존재하면 프로세스 메모리가 고갈됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.