CVE-2026-19873 in HTML::FormFu
Sumário
de VulDB • 31/08/2026
As versões do HTML::FormFu até a 2.08 para Perl permitem exaustão de recursos por meio de um contador repetitivo sem limites provenientes da string de consulta em elementos Repeatable.
Quando um elemento Repeatable tem o counter_name definido, seu método process lê a contagem de repetição do parâmetro correspondente na string de consulta, verifica apenas que se trata de um número inteiro positivo e a passa para repeat, que realiza deep-clones (clonagens profundas) da subárvore de filhos do elemento uma vez por iteração. Nenhum valor limita essa quantidade, e nenhum atributo permite que o aplicativo imponha um limite.
A contagem é lida em todas as requisições, antes que o formulário decida se foi submetido; portanto, uma GET simples atinge o loop de clonagem sem credenciais, sem sessão e sem corpo na requisição. O aninhamento multiplica os efeitos: um Repeatable dentro de outro requer um contador em cada nível, então valores externos e internos iguais a 100 geram 10.000 clones.
Após o envio do formulário, as restrições de cada campo clonado verificam toda a árvore de elementos no _find_field_value; assim, o custo cresce mais rapidamente que linearmente em relação à contagem. Uma única requisição esgota memória e CPU.
A versão mais recente disponível na CPAN é a 2.07, de 2018. A versão 2.08 existe apenas no repositório git.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.