CVE-2026-116130

Niskie ryzyko· EPSS 26%

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

W HTTP::Parser::XS w wersjach przed 0.18 dla Perla funkcja parse_http_request obcina PATH_INFO na zakodowanym bajcie NUL. Parser XS dekoduje URL ścieżki żądania i mierzy wynik za pomocą strlen(), więc PATH_INFO kończy się na pierwszym bajcie zdekodowanym z %00; backend czysto perlowy nie jest dotknięty.

Ocena ryzyka

Zdalny atakujący może wysłać ścieżkę, którą proxy lub filtr sprawdza w całości, podczas gdy aplikacja routuje na krótszej ścieżce.

Rekomendacja

Zaktualizuj HTTP::Parser::XS do wersji 0.18 lub nowszej.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

HTTP::Parser::XS versions before 0.18 for Perl truncate PATH_INFO at an encoded NUL byte in parse_http_request. The XS parser URL-decodes the request path and measures the result with strlen(), so PATH_INFO ends at the first byte decoded from %00. The pure-Perl backend is not affected. A remote attacker can send a path that a proxy or filter checks in full while the application routes on a shorter one.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS