CVE-2026-9516

WysokieCVSS 7.5

Opublikowano: 03/06/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Podatność na odmowę usługi (DoS) w bibliotece Cpanel::JSON::XS dla Perla przed wersją 4.41. Specjalnie spreparowane dane wejściowe z prefiksem BOM UTF-8 mogą spowodować awarię interpretera Perla, gdy używane jest wywołanie zwrotne filtru dekodowania, które zgłasza wyjątek.

Ocena ryzyka

Atakujący może spowodować awarię aplikacji korzystającej z tej biblioteki, co prowadzi do przerwania działania usługi.

Rekomendacja

Zaktualizuj bibliotekę Cpanel::JSON::XS do wersji 4.41 lub nowszej.

Inne podatności w Cpanel::JSON::XS

CVE-2026-9334Wysokie
Podatność pomylenia typów w module Cpanel::JSON::XS dla Perla (przed wersją 4.41) przy włączonej opcji dupkeys_as_arrayref. Funkcja decode_hv() błędnie dereferencuje wskaźnik do zwykłego skalara jako referencję, co może prowadzić do awarii interpretera.

Oryginalny opis (angielski, źródło NVD)

Cpanel::JSON::XS versions before 4.41 for Perl allow denial of service via UTF-8 BOM prefixed input when a decode filter callback throws. To skip a leading 3-byte UTF-8 BOM, decode_json() advances the input scalar's string pointer past the mark with SvPV_set() and restores it only on the normal return path. When decoding aborts through a Perl exception, for example a filter_json_object callback that croaks, the restore is skipped and the scalar is left with its string pointer offset into its own buffer and a shortened length. When that scalar is later freed, the allocator receives an invalid pointer and the interpreter aborts. A single BOM prefixed document decoded with a throwing filter callback crashes any caller.