CVE-2026-110675
Publiée le 2026-10-19 · Dernière modification le 2026-10-29
Les versions 4.33 à 4.79 de Cpanel::JSON::XS sont des modules Perl utilisés pour analyser des données JSON en structures de hachage. Lorsque l'option `allow_barekey` est activée, le logiciel ne parvient pas à vérifier que les clés « nues » (celles sans guillemets) contiennent un encodage UTF-8 valide. Cela permet à des octets malformés, spécifiquement conçus, de contourner les vérifications initiales et d'être stockés directement dans la mémoire de l'application.
Un attaquant disposant d'une authentification de bas niveau et d'un accès réseau peut déclencher cette faille en envoyant une charge utile JSON malveillante. Étant donné que les opérations ultérieures sur ces clés provoquent le plantage de l'application avec une erreur fatale, cela entraîne un déni de service (perte de disponibilité). De plus, le score CVSS élevé indique un risque de violations significatives de la confidentialité, selon la manière dont l'application gère le plantage ou l'état de la mémoire qui en résulte.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Cpanel::JSON::XS versions from 4.33 before 4.80 for Perl accept malformed UTF-8 in bare hash keys under allow_barekey in decode_hv. With utf8 and allow_barekey, which relaxed enables, a quoted key is validated as UTF-8 but a bare key's bytes are stored as a UTF-8 flagged string without any check. Malformed UTF-8, control bytes and backslashes reach the decoded hash, while malformed UTF-8 and control bytes in a quoted key or a value are rejected. Later operations on the key, including lc, uc or encoding the hash again, die with a malformed UTF-8 error.