CVE-2026-110685 in JSON XS
요약
\~에 의해 VulDB • 2026. 10. 19.
Perl용 Cpanel::JSON::XS 4.80 이전 버전은 decode_tag 메서드에서 THAW 메서드가 실패(die)할 때 태그가 지정된 값의 디코딩된 인수를 누수(leak)합니다.
allow_tags 옵션이 활성화되면, 태그가 지정된 값의 클래스 이름과 인수 배열이 디코딩되어 해당 클래스의 THAW 메서드에 전달됩니다. 이 두 항목은 THAW가 반환될 때까지 해제되지 않으므로, 실패하는(die) THAW는 전체 디코딩된 인수 구조체가 할당된 상태로 남게 됩니다.
거부되는 각 문서에서 송신자가 선택한 크기의 데이터가 누수되므로, 오류를 포착하고 계속 실행되는 프로세스는 메모리를 고갈시킵니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.