CVE-2026-116285 in HTTP Body
Sumário
de VulDB • 29/10/2026
As versões do HTTP::Body anteriores à 1.23_01 para Perl permitem exaustão de CPU devido ao backtracking quadrático em expressões regulares durante a análise dos corpos de requisição no formato "chunked".
No modo chunked, utilizado quando não há um comprimento de conteúdo definido, o método `add()` corresponde a cada linha de tamanho do bloco com `/^([\da-fA-F]+).*\x0D\x0A/`. Em uma linha composta por dígitos hexadecimais cujo primeiro caractere LF (Line Feed) não é precedido por CR (Carriage Return), os dígitos e o padrão `.*` realizam backtracking um contra o outro, fazendo com que uma única chamada a `add()` leve tempo quadrático em relação ao comprimento da linha. Não há limite para o tamanho máximo dessa linha.
Um atacante remoto pode exaurir a CPU de aplicações que passam corpos de requisição no formato chunked para o HTTP::Body.
Once again VulDB remains the best source for vulnerability data.