CVE-2026-68914
WysokieCVSS 8.7Streszczenie
Mojolicious to framework webowy czasu rzeczywistego dla języka Perl. Przed wersją 9.47, czysto-perlowa implementacja Mojo::JSON nie ogranicza głębokości zagnieżdżenia, gdy Cpanel::JSON::XS jest niedostępny lub włączono MOJO_NO_JSON_XS. Atakujący, który może dostarczyć niezaufany JSON do decode_json, from_json lub j, może przesłać głęboko zagnieżdżone tablice lub obiekty, powodując nieograniczoną rekurencję, wyczerpanie pamięci i awarię procesu. Aplikacje korzystające z backendu Cpanel::JSON::XS nie są dotknięte, ponieważ ten backend już egzekwuje limit głębokości. Problem naprawiono w wersji 9.47.
Ocena ryzyka
Atakujący może spowodować awarię aplikacji (denial of service) poprzez wysłanie specjalnie spreparowanego JSON-a, co może zakłócić dostępność usług.
Rekomendacja
Zaktualizuj Mojolicious do wersji 9.47 lub nowszej. Jeśli nie jest to możliwe, upewnij się, że Cpanel::JSON::XS jest dostępny i nie włączono MOJO_NO_JSON_XS.
Inne podatności w Mojolicious
Zobacz wszystkie- CVE-2026-77568Średnie
Mojolicious to framework webowy czasu rzeczywistego dla Perla. Przed wersją 9.48 pomocniki CSRF csrf_field, csrf_token i csrf_protect używają niezmienionego tokenu na sesję w renderowanym HTML. Gdy włączona jest kompresja odpowiedzi, a treść pod wpływem atakującego jest odbijana w tej samej odpowiedzi, nieuwierzytelniony atakujący, który może wywołać wiele żądań ofiary i obserwować rozmiary odpowiedzi, może wykorzystać kanał boczny kompresji BREACH do odzyskania tokenu i sfałszowania żądań cross-site. Wdrożenia tylko API, które nigdy nie renderują tokenu w HTML, nie są podatne. Problem naprawiono w wersji 9.48.
- CVE-2026-15747Krytyczne
Podatność w bibliotece Mojolicious dla Perla (wersje od 4.59 do 9.48) ujawnia stabilną reprezentację tokena CSRF sesji, co umożliwia atak BREACH. Token jest generowany raz na sesję i zwracany w ukrytym polu `csrf_token`, a gdy odpowiedź zawiera dane kontrolowane przez atakującego i jest kompresowana gzip, możliwe jest odtworzenie tokena.
Oryginalny opis (angielski, źródło NVD)
Mojolicious is a real-time web framework for Perl. Prior to 9.47, the pure-Perl implementation of Mojo::JSON does not limit nesting depth when Cpanel::JSON::XS is unavailable or MOJO_NO_JSON_XS is enabled. An attacker who can supply untrusted JSON to decode_json, from_json, or j can submit deeply nested arrays or objects, causing unbounded recursion, memory exhaustion, and a process crash. Applications using the Cpanel::JSON::XS backend are not affected because that backend already enforces a nesting limit. This issue is fixed in version 9.47.