Cyber ·
CVE-2026-65059: Furl até a versão 3.15 permite esgotamento de memória por descompressão ilimitada
Falha divulgada em 2 de novembro de 2026 no Furl, um cliente HTTP para Perl: até a versão 3.15, a descompressão sem limite de respostas HTTP pode esgotar a memória. O aviso foi publicado na lista oss-sec pelo Grupo de Segurança do CPAN.
O que a fonte informa: a CVE-2026-65059 afeta o Furl, na distribuição de mesmo nome, em todas as versões até a 3.15. Segundo o aviso, ao descomprimir respostas HTTP sem limite, a biblioteca pode esgotar a memória disponível do processo. A publicação foi feita por Robert Rothenberg em 2 de novembro de 2026, a partir do feed da lista oss-sec. A página original também lista o repositório do projeto e o registro no MetaCPAN, que não reproduzimos aqui.
Por que interessa: o Furl é uma biblioteca de cliente HTTP. Um sistema só fica exposto se usar essa biblioteca, diretamente ou por outra dependência, para receber respostas de servidores não confiáveis ou sem controle. Relevância para a Rota Nacional: a plataforma não corrige bibliotecas de terceiros e não afirma bloquear esse tipo de ataque no código cliente de quem a usa. Sua função de detecção de dados pessoais atua sobre o conteúdo enviado aos modelos, não sobre a memória consumida por um cliente HTTP.
Como proteger a organização: primeiro, verifique se o Furl aparece nas dependências de seus projetos, incluindo as transitivas, e em qual versão. Se estiver nas versões afetadas, acompanhe o aviso original e a orientação dos mantenedores sobre correção, sem presumir uma versão corrigida que a fonte não informa. Enquanto isso, limite o tamanho das respostas aceitas pelo seu código e defina tempos de espera. Se o seu uso da Rota passa pela API compatível com OpenAI ou Anthropic, mantenha suas próprias chaves fora do código e revise os registros no painel.