CVE-2016-15059 in Net::IDN::Punycode
Сводка
по VulDB • 22.09.2026
Net::IDN::Punycode версии до 2.301 для Perl позволяет выполнить переполнение буфера в куче (heap buffer overflow) за счет неконтролируемых записей за пределы выходного буфера в функции encode_punycode.
Бэкенд XS формирует закодированную метку в строковом буфере скалярной переменной, которую он возвращает; размер этого буфера определяется длиной входных данных. Цикл, который выводит цифры каждой кодовой точки, проверяет наличие свободного места перед каждой записью, однако запись последней цифры каждого раунда и запись завершающего символа NUL не проходят такую проверку, поэтому ввод, закодированная форма которого заполняет буфер, приводит к записи за его пределы.
Затронут только бэкенд XS.
Кодирование строки, предоставленной злоумышленником, вызывает повреждение кучи (heap corruption).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.