CVE-2026-110682
Publiée le 2026-10-19 · Dernière modification le 2026-10-19
Les versions 4.42 à 4.79 de Cpanel::JSON::XS sont des modules Perl utilisés pour analyser des données JSON. La faille se situe dans l'analyseur incrémentiel, qui traite les données par morceaux plutôt que d'un seul bloc. Si un nombre de premier niveau est divisé entre deux opérations de lecture distinctes, l'analyseur peut le décoder comme deux valeurs distinctes au lieu d'un seul nombre combiné.
Un attaquant capable de contrôler la segmentation des données lors de la transmission peut manipuler les valeurs et le nombre de messages reçus par le serveur. Cela lui permet de contourner les contraintes de données prévues ou d'injecter des valeurs inattendues, compromettant potentiellement l'intégrité des informations traitées. La réussite de l'attaque nécessite la capacité d'influencer les limites de lecture réseau, ce qui requiert généralement un accès réseau direct au service utilisant ce module.
RÉFÉRENCES
Description officielle du NVD (en anglais)
Cpanel::JSON::XS versions from 4.42 before 4.80 for Perl let input chunking change the decoded value of top-level numbers in incr_parse. allow_nonref is enabled by default and incr_parse inherits it. A top-level number, true, false or null has no closing delimiter, so the incremental parser decodes whatever has arrived. The bytes 12 decode as one value when read together, but as 1 and then 2 when split across two reads. A peer that can influence read boundaries can change how many messages a stream consumer decodes and what values they carry.