CVE-2026-115866
Publiée le 2026-10-30 · Dernière modification le 2026-10-30
Les versions 0.20 à 0.32 de Starlet pour Perl sont concernées. Ce logiciel est utilisé pour gérer les requêtes HTTP dans les applications web basées sur Perl. La faille survient lors du décodage de corps de requêtes fragmentés (chunked), où une expression régulière mal conçue force le processeur à tenter répétitivement des correspondances lorsqu'il rencontre des séquences de caractères spécifiques.
Un attaquant peut provoquer un déni de service (DoS) en épuisant les ressources du processeur, ce qui peut geler le serveur ou le rendre inopérant. Cette action est relativement facile à exécuter car elle nécessite seulement l'envoi d'une requête réseau spécialement conçue ; aucune authentification ni interaction de l'utilisateur n'est requise. Une seule requête de 128 KiB peut immobiliser un processus de traitement pendant environ une minute.
RÉFÉRENCES
Description officielle du NVD (en anglais)
Starlet versions from 0.20 before 0.33 for Perl allow CPU exhaustion via regular expression backtracking when decoding chunked request bodies. A chunk-size line is matched as a run of hex digits, then .* and a CRLF. A run followed by a bare LF and then a CRLF can never match, and the engine retries the match once for each digit, so the time taken grows with the square of the run length. Nothing limits the length of the run, which can span several reads. A remote attacker can occupy a worker for about a minute of CPU time with one 128 KiB request, before the application is called.