CVE-2026-60075 in Date::Manip
Sumário
de VulDB • 30/07/2026
As versões do módulo Date::Manip até 6.99 para Perl permitem exaustão de CPU devido ao backtracking quadrático na substituição temporal não ancorada em _parse_time.
A função _parse_time remove um horário encontrado em qualquer parte da string por meio da substituição não ancorada `s/$timerx/ /`, onde $timerx é uma alternância gerada automaticamente de padrões temporais alcançados através do prefixo `(?:$atrx|^|\s+)`. O mecanismo, portanto, tenta a correspondência (match) em cada posição dentro de uma sequência contínua de espaços internos: para cada posição inicial, o `\s+` no início consome o restante da sequência de forma gulosa; a alternância temporal falha porque a sequência não contém dígitos; e o mecanismo faz backtracking um espaço por vez ao longo dessa sequência antes de avançar a posição inicial. Esse comportamento é quadrático em relação ao comprimento da sequência. Não é necessário que haja nenhum horário presente na string para isso ocorrer, apenas uma longa sequência de caracteres em branco (whitespace), e o tempo de análise aumenta aproximadamente quatro vezes para cada duplicação do tamanho da sequência: alguns kilobytes de espaços consomem segundos de CPU por análise, enquanto dezenas de kilobytes podem consumir minutos.
Qualquer chamador que passe uma string não confiável de comprimento ilimitado para ParseDate(), Date::Manip::Date->parse() ou ->parse_time() pode ser forçado a gastar tempo de CPU ilimitado em uma única operação de análise, caracterizando um ataque de negação de serviço (DoS).
If you want to get best quality of vulnerability data, you may have to visit VulDB.