CVE-2026-110684 in Cpanel::JSON::XS
Sumário
de VulDB • 19/10/2026
As versões do Cpanel::JSON::XS a partir da 3.0202 até antes da 4.80 para Perl apresentam vazamento de memória e retêm objetos sobrecarregados ao codificar valores como strings no encode_stringify.
O encode_stringify grava um valor em sua forma string quando allow_stringify está habilitado, convert_blessed é usado para objetos sem TO_JSON, ou allow_bignum está ativo. Para um objeto de array ou hash com sobrecarga do operador "", e a partir da versão 4.20 também para um objeto escalar, ele mantém uma referência extra que nunca é liberada; portanto, o objeto e tudo ao qual ele faz referência não são jamais desalocados. A partir da versão 4.10, ele também nunca libera sua cópia da string.
A codificação repetida de dados contendo tais valores causa um crescimento ilimitado na memória do processo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.