CVE-2026-110682 in Cpanel::JSON::XS
摘要
由 VulDB • 2026-10-20
Cpanel::JSON::XS 4.42（不含）至 4.80（不含）版本的 Perl 模块中，输入分块处理会改变 incr_parse 函数顶层数字的解码值。
allow_nonref 默认启用，且 incr_parse 继承该设置。顶层的数字、true、false 或 null 没有结束分隔符，因此增量解析器会对已接收的数据进行解码。当数据一起读取时，“12”被解码为一个值；但当分两次读取时，则分别解码为 1 和 2。
能够影响读取边界的对端可以改变流消费者解码的消息数量及其携带的值。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.