CVE-2026-50638
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 — wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wersje Metrics::Any::Adapter::DogStatsd przed 0.04 dla Perla nie chronią przed wstrzyknięciami metryk. Protokół statsd pozwala na wysyłanie wielu metryk w jednym pakiecie, co stwarza ryzyko wstrzyknięcia złośliwych danych.
Ocena ryzyka
Organizacje mogą być narażone na manipulację danymi metrycznymi, co może prowadzić do błędnych analiz i decyzji opartych na fałszywych informacjach.
Rekomendacja
Zaleca się aktualizację do wersji 0.04 lub nowszej, aby zabezpieczyć się przed wstrzyknięciami metryk oraz weryfikację tagów pod kątem nowych linii i znaków kontrolnych.
Oryginalny opis (angielski, źródło NVD)
Metrics::Any::Adapter::DogStatsd versions before 0.04 for Perl does not protect against metric injections. The statsd protocol (and extensions such as dogstatsd) allow mutiple metrics, separated by newlines, to be sent per packet. Metrics::Any::Adapter::DogStatsd which extends Metrics::Any::Adapter::Statsd, which has a similar vulnerability. In addition, the _tags function does not check tags for newlines or statsd control characters. The tags can be used for metric injections.