Cyber ·
CVE-2026-116130: HTTP::Parser::XS anterior à 0.18 trunca PATH_INFO em byte NUL codificado
Aviso do CPAN Security Group sobre a distribuição HTTP-Parser-XS para Perl: versões anteriores à 0.18 truncam PATH_INFO ao encontrar um byte NUL codificado na função parse_http_request.
Segundo o aviso, publicado em 30 de outubro de 2026 no feed oss-sec, o ID da vulnerabilidade é CVE-2026-116130 e afeta a distribuição HTTP-Parser-XS para Perl em todas as versões anteriores à 0.18. O defeito faz a biblioteca truncar o valor de PATH_INFO quando encontra um byte NUL codificado durante o parse da requisição HTTP, na função parse_http_request. O texto disponível é uma tradução automática do conteúdo do feed, por isso convém conferir os termos técnicos na fonte original. A fonte não descreve impacto explorável nem severidade, e este resumo não acrescenta essas informações. Para verificar o alcance, consulte o registro oficial pelo ID da CVE e a página da distribuição no MetaCPAN, que o aviso indica. Depois, identifique em seus ambientes Perl se a versão instalada é inferior à 0.18 e atualize a dependência quando houver a versão corrigida. A Rota Nacional não corrige bibliotecas de terceiros e não participa do parse HTTP de aplicações Perl, portanto esse risco permanece na sua infraestrutura.