CVE-2026-49941
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Net::CIDR::Set dla Perla (wersje do 0.20) polegająca na braku walidacji adresów IP. Metoda add wywołuje _encode, która dla nieprawidłowych adresów prowadzi do nieskończonej rekurencji, powodując odmowę usługi.
Ocena ryzyka
Ryzyko ataku DoS poprzez wysłanie nieprawidłowego adresu IP, co może doprowadzić do wyczerpania zasobów i awarii aplikacji.
Rekomendacja
Zaleca się aktualizację biblioteki Net::CIDR::Set do wersji nowszej niż 0.20 lub zastosowanie poprawek walidujących adresy IP.
Inne podatności w Net::CIDR::Set
Zobacz wszystkie- CVE-2026-19566Wysokie
Net::CIDR::Set przed wersją 0.23 dla Perla pozwala na wyczerpanie pamięci i nieprawidłowe zakresy zestawów przez nieograniczone długości prefiksów IPv6. Funkcja _encode akceptuje dowolną długość prefiksu, co prowadzi do alokacji ogromnych ciągów i tablic, a także do błędów w dopasowywaniu zakresów.
- CVE-2026-49942Wysokie
Biblioteka Net::CIDR::Set dla Perla w wersjach do 0.20 nie waliduje poprawnie masek sieciowych. Znaki Unicode, takie jak cyfry arabsko-indyjskie, lub znaki niebędące cyframi w masce są ignorowane, co może pozwolić na akceptowanie większych sieci niż zamierzono. Ponadto wiodące zera są akceptowane, ale traktowane jako dziesiętne zamiast ósemkowych, co może prowadzić do nieporozumień co do akceptowalnych sieci.
- CVE-2026-49940Średnie
Biblioteka Net::CIDR::Set dla Perla w wersjach do 0.20 akceptuje nie-ASCII adresy IP i maski sieciowe. Cyfry Unicode, takie jak arabsko-indyjska jedynka (U+0661), były akceptowane, ale nieprawidłowo parsowane jako liczby, co mogło pozwolić maskom sieciowym na akceptowanie większych sieci.
Oryginalny opis (angielski, źródło NVD)
Net::CIDR::Set versions through 0.20 for Perl did not validate IP addresses. The add method called the _encode method to parse addresses. If the addresses did not look like netmasks or network ranges, then they were assumed to single IP addresses and passed back to itself as a 32-bit or 128-bit netmask. If the argument was not a well-formed IP address, then this would lead to indefinite recursion. An attacker could use this to cause a denial of service.