CVE-2026-11373
Publiée le 2026-06-22 · Dernière modification le 2026-10-25
Les applications Perl utilisant la bibliothèque Net::Statsite::Client (version 1.1.0 et versions antérieures) sont vulnérables à l'injection de métriques car le logiciel ne nettoie pas les sauts de ligne et les caractères de contrôle. Un attaquant non authentifié disposant d'un accès réseau peut envoyer des données spécialement conçues pour écraser ou usurper les métriques du système, ce qui pourrait induire en erreur les outils de surveillance ou déclencher de fausses alertes. Cette action est facile à exécuter car elle ne nécessite ni authentification préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Net::Statsite::Client versions through 1.1.0 for Perl allow metric injections. Net::Statsite::Client is a client for the statsite protocol, which is a variant of statsd. Newlines are not removed from metric names, allowing metric injections. Values are not sanitised for newlines or other protocol control characters such as colons or pipes, allowing metric injections.