Cyber ·
CVE-2026-123776: RRD::CGI::Image até a versão 0.01 pode bloquear processo CGI via parâmetro tz
Aviso do Grupo de Segurança CPAN sobre o módulo Perl RRD::CGI::Image, até a versão 0.01: parâmetros CGI com “tz” podem fazer tzset() bloquear o processo quando o caminho usado é um FIFO ou dispositivo.
Em 7 de novembro de 2026, Robert Rothenberg publicou no feed da lista oss-sec o aviso CVE-2026-123776, atribuído pelo Grupo de Segurança CPAN. O aviso afeta a distribuição RRD-CGI-Image, nas versões até 0.01. Segundo o texto disponível, parâmetros CGI com o campo “tz” podem levar a função tzset() a bloquear o processo quando se usa um caminho de FIFO ou de dispositivo. O resultado é a interrupção do processo CGI, um problema de disponibilidade. O conteúdo recebido é uma tradução automática e o trecho é truncado, por isso não traz informações sobre correção, versão corrigida ou condições completas de exploração. Para confirmar esses pontos, consulte o aviso original na lista oss-sec e a página do módulo no MetaCPAN, indicada no próprio texto. Relevância: aplicações CGI em Perl que usam este módulo e aceitam valores de fuso horário vindos de usuários podem ficar travadas. A Rota Nacional não corrige bibliotecas Perl de terceiros e este aviso não trata de dados pessoais. Se o tema for estudado com apoio de IA, a recomendação é não colar logs ou credenciais.