CVE-2026-14803
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Mojo::JSON dla Perla przed wersją 9.47 powoduje wyczerpanie pamięci przez nieograniczoną rekurencję w czysto-perlowym dekoderze JSON. Głęboko zagnieżdżony dokument JSON może doprowadzić do wyczerpania pamięci procesu.
Ocena ryzyka
Atakujący może wysłać specjalnie spreparowane żądanie HTTP z głęboko zagnieżdżonym JSON-em, co spowoduje wyczerpanie pamięci serwera i odmowę usługi (DoS). Dotyczy to domyślnej ścieżki dekodowania, gdy nie jest zainstalowany Cpanel::JSON::XS.
Rekomendacja
Należy natychmiast zaktualizować Mojo::JSON do wersji 9.47 lub nowszej. Alternatywnie, zainstalować Cpanel::JSON::XS, aby korzystać z bezpiecznej ścieżki szybkiego dekodowania.
Oryginalny opis (angielski, źródło NVD)
Mojo::JSON versions before 9.47 for Perl allow memory exhaustion via unbounded recursion in the pure-Perl decoder. The pure-Perl decode path (`_decode_value` dispatching to `_decode_array` and `_decode_object`) recurses with no depth limit, so a small deeply nested JSON document can consume excessive memory. This path is the default when Cpanel::JSON::XS is not installed or `MOJO_NO_JSON_XS=1` is set; the Cpanel::JSON::XS fast path is not affected. Any caller that decodes an untrusted JSON body, for example `Mojo::Message::json` reached through `$c->req->json`, can exhaust process memory and cause denial of service.