Cyber ·
Cpanel::JSON::XS para Perl anterior à 4.80: 15 CVEs divulgadas
Aviso de 19 de outubro de 2026 descreve 15 CVEs em versões do Cpanel::JSON::XS para Perl anteriores à 4.80, incluindo vazamento de dados, esgotamento de pilha e confusão de tipos.
O aviso, publicado por Stig Palmquist na lista oss-sec em 19 de outubro de 2026 e traduzido automaticamente a partir do feed de origem, descreve falhas no módulo Cpanel::JSON::XS para Perl. O título indica 15 CVEs. O trecho disponível detalha três identificadores: CVE-2026-110672, CVE-2026-110673 e CVE-2026-110674.
CVE-2026-110672: versões anteriores à 4.80 vazam a chave decodificada de um objeto rejeitado por conter chave duplicada ou por falta de dois-pontos, em decode_hv.
CVE-2026-110673: versões anteriores à 4.80 permitem esgotamento de pilha por meio de valores aninhados com tags em allow_tags, em decode_tag.
CVE-2026-110674: versões da 4.33 até anteriores à 4.80 não detectam chaves simples não ASCII duplicadas, o que permite confusão de tipos.
O texto disponível não detalha os demais identificadores nem outros caminhos de exploração. Para a lista completa, as datas de correção e a versão exata afetada, consulte o aviso original no arquivo da lista oss-sec de 2026, no quarto trimestre, pela data e autor indicados acima.
Fonte original: Cpanel::JSON::XS anterior à versão 4.80 para Perl: 15 CVEs