CVE-2026-13401

WysokieCVSS 7.5

Opublikowano: 16/07/2026(UTC)Zaktualizowano: 17/07/2026(UTC)Przetłumaczono: 18/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece XML::Bare dla Perla (wersje do 0.53) powoduje zawieszenie w nieskończonej pętli podczas parsowania nieprawidłowo sformułowanych atrybutów XML. Funkcja parserc_parse nie przesuwa kursora stanu parsowania atrybutów dla określonych błędnych form, co prowadzi do zapętlenia.

Ocena ryzyka

Atakujący może dostarczyć specjalnie spreparowany dokument XML, który spowoduje zawieszenie aplikacji korzystającej z XML::Bare, prowadząc do odmowy usługi (DoS).

Rekomendacja

Należy zaktualizować bibliotekę XML::Bare do wersji nowszej niż 0.53, jeśli dostępna, lub zastosować obejście polegające na walidacji danych wejściowych przed przekazaniem do parsera.

Inne podatności w XML::Bare

CVE-2026-57074Krytyczne
Podatność w bibliotece XML::Bare dla Perla (wersje do 0.53) wynika z nieograniczonego wyprzedzania znaków w funkcji parserc_parse. Funkcja ta nie sprawdza, czy przesunięcia w buforze są prawidłowe, co przy skróconych ciągach, takich jak "<a/", może prowadzić do odczytu poza zakresem pamięci.

Oryginalny opis (angielski, źródło NVD)

XML::Bare versions through 0.53 for Perl will hang in an infinite loop when parsing malformed attributes. The parserc_parse function never advances the attribute-parse state cursor on certain malformed attribute forms, looping forever. Nameless attributes such as "<a ='c'>" or unbalanced quotes "<a b='''''''c'>" can trigger this condition.