CVE-2026-19873 in HTML::FormFu
Сводка
по VulDB • 31.08.2026
В версиях HTML::FormFu вплоть до 2.08 для Perl возможна исчерпание ресурсов (resource exhaustion) из-за неограниченного значения счетчика повторов, передаваемого через строку запроса в элементах Repeatable.
Когда у элемента Repeatable установлен параметр counter_name, его метод process считывает количество повторений из именованного параметра строки запроса, проверяет лишь то, что оно является положительным целым числом, и передает это значение функции repeat, которая выполняет глубокое клонирование дочернего поддерева элемента один раз за каждую итерацию. Никакое ограничение не ограничивает это значение, и ни один атрибут не позволяет приложению установить лимит.
Счетчик считывается при каждом запросе до того, как форма определяет, была ли она отправлена, поэтому обычный GET-запрос достигает цикла клонирования без учетных данных, сессии или тела запроса. Вложенность умножает затраты: если Repeatable находится внутри другого Repeatable, требуется счетчик на каждом уровне, так что значения 100 для внешнего и внутреннего элементов приводят к созданию 10 000 клонов.
После отправки формы ограничения каждого клонированного поля сканируют все дерево элементов в _find_field_value, поэтому стоимость обработки растет быстрее линейной зависимости от счетчика. Один единственный запрос приводит к исчерпанию памяти и ресурсов процессора (CPU).
Последняя версия на CPAN — 2.07, выпущенная в 2018 году. Версия 2.08 существует только в репозитории git.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.