Cyber ·
Starlet para Perl anterior à 0.33: quatro CVEs de esgotamento de recursos e corrupção de respostas HTTP
Aviso de segurança no feed oss-sec, publicado em 30 de outubro de 2026, sobre quatro CVEs que afetam versões do Starlet para Perl anteriores à 0.33, com esgotamento de memória e de CPU por requisições construídas.
Em 30 de outubro de 2026, Robert Rothenberg publicou no feed oss-sec um aviso sobre quatro CVEs no Starlet, um servidor web em Perl. Segundo o texto, versões anteriores à 0.33 são afetadas. Três identificadores aparecem no trecho disponível. O CVE-2026-115865 permite que uma requisição com Content-Length grande esgote a memória e encerre um worker. O CVE-2026-115866 afeta versões da 0.20 até antes da 0.33 e causa esgotamento de CPU por backtracking de expressão regular ao decodificar corpos de requisições em blocos. O CVE-2026-116127 faz com que respostas a requisições HEAD incluam um corpo, o que corrompe a resposta seguinte. O quarto CVE não aparece no trecho disponível, portanto não é possível descrever seu efeito a partir desta fonte. Para consultar o original, procure o aviso no arquivo público da lista oss-sec de 2026 pelos identificadores citados e confira a lista de versões afetadas e a correção indicada pelos mantenedores. A relevância para o leitor é localizar se algum serviço da sua organização usa o Starlet, direta ou indiretamente. Este aviso não se aplica à Rota Nacional como plataforma de IA, mas quem usa a API com infraestrutura própria em Perl deve tratar o assunto na sua camada de servidor.
Fonte original: Starlet para Perl anterior à versão 0.33 (4 CVEs)