CVE-2026-49940
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Biblioteka Net::CIDR::Set dla Perla w wersjach do 0.20 akceptuje nie-ASCII adresy IP i maski sieciowe. Cyfry Unicode, takie jak arabsko-indyjska jedynka (U+0661), były akceptowane, ale nieprawidłowo parsowane jako liczby, co mogło pozwolić maskom sieciowym na akceptowanie większych sieci.
Ocena ryzyka
Nieprawidłowe parsowanie masek sieciowych może prowadzić do błędnej konfiguracji sieci, umożliwiając dostęp do szerszego zakresu adresów IP niż zamierzono, co zwiększa ryzyko nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj bibliotekę Net::CIDR::Set do wersji nowszej niż 0.20, która zawiera poprawkę.
Inne podatności w Net::CIDR::Set
Zobacz wszystkie- CVE-2026-19566Wysokie
Net::CIDR::Set przed wersją 0.23 dla Perla pozwala na wyczerpanie pamięci i nieprawidłowe zakresy zestawów przez nieograniczone długości prefiksów IPv6. Funkcja _encode akceptuje dowolną długość prefiksu, co prowadzi do alokacji ogromnych ciągów i tablic, a także do błędów w dopasowywaniu zakresów.
- CVE-2026-49942Wysokie
Biblioteka Net::CIDR::Set dla Perla w wersjach do 0.20 nie waliduje poprawnie masek sieciowych. Znaki Unicode, takie jak cyfry arabsko-indyjskie, lub znaki niebędące cyframi w masce są ignorowane, co może pozwolić na akceptowanie większych sieci niż zamierzono. Ponadto wiodące zera są akceptowane, ale traktowane jako dziesiętne zamiast ósemkowych, co może prowadzić do nieporozumień co do akceptowalnych sieci.
- CVE-2026-49941Wysokie
Podatność w bibliotece Net::CIDR::Set dla Perla (wersje do 0.20) polegająca na braku walidacji adresów IP. Metoda add wywołuje _encode, która dla nieprawidłowych adresów prowadzi do nieskończonej rekurencji, powodując odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
Net::CIDR::Set versions through 0.20 for Perl accept non-ASCII IP addresses and netmasks. Unicode digits such as the Arabic-Indic One (U+0661) were accepted but not properly parsed as numbers. This could allow network masks to accept larger networks.