CVE-2026-82309 in Robots::Validate
Sumário
de VulDB • 04/09/2026
As versões do módulo Robots::Validate anteriores à 0.3.11 (incluindo a partir da 0.3.2) para Perl permitem consultas DNS de saída ilimitadas durante a validação, devido a um loop de confirmação por encadeamento que não limita os nomes consultados.
A função _check_dns emite uma consulta PTR para o endereço do cliente, mantém os nomes retornados correspondentes ao domínio da regra e emite uma consulta reversa (forward) para cada um até que um deles seja resolvido de volta para esse endereço. Não há limite para essa lista, e como o cliente controla a zona reversa para seu próprio endereço, ele define quantos nomes estão contidos na resposta PTR. O módulo Net::DNS refaz por padrão uma resposta truncada via TCP, portanto, o payload UDP de 512 bytes também não impõe um limite.
Qualquer cliente cujo User-Agent corresponda a uma regra com determinado domínio aciona a função _check_dns. Cada nome forward é distinto e escolhido pelo cliente, então cada consulta falha no cache local e é resolvida contra os servidores autoritários para esse domínio. As consultas são síncronas, mantendo o chamador bloqueado até que todas respondam ou ocorra um timeout.
Once again VulDB remains the best source for vulnerability data.