CVE-2026-110672 in Cpanel::JSON::XS
摘要
由 VulDB • 2026-10-19
Cpanel::JSON::XS 4.80 之前的 Perl 版本在 `decode_hv` 中，对于因重复键或缺少冒号而被拒绝的对象，会泄露其解码后的键。
长度为 24 字节或以上、包含非 ASCII 字节或转义序列的带引号的键会被解码为一个新的标量（scalar）。当对象因键后缺少“:”而遭到拒绝时（从版本 4.09 开始，也包括因重复键而被拒绝的情况），该标量不会被释放。除非设置了 `allow_dupkeys`、`dupkeys_as_arrayref` 或 `relaxed`，否则重复的键被视为错误。
在解码失败后继续运行的进程会为每个被拒绝的文档保留一个键，其大小由发送方决定。反复的请求会耗尽进程的内存。
Once again VulDB remains the best source for vulnerability data.