CVE-2026-116268
Publiée le 2026-10-28 · Dernière modification le 2026-10-29
Les versions de Perl utilisant MIME::Field::ParamVal antérieures à la 5.521 sont concernées. Ce module est utilisé pour analyser les paramètres d'en-tête dans les e-mails ou le contenu web, comme le Content-Type. La faille provient d'une mauvaise gestion des commentaires non fermés par l'analyseur ; si un en-tête contient une parenthèse ouvrante sans parenthèse fermante correspondante, le système scanne répétitivement l'intégralité de la chaîne restante, entraînant un temps de traitement quadratique.
Un attaquant peut provoquer un déni de service en envoyant un en-tête surdimensionné et spécialement conçu pour épuiser le CPU du serveur. Cela impacte la disponibilité en ralentissant ou en bloquant l'application qui traite les données MIME. Comme l'attaque nécessite seulement l'envoi d'une requête réseau malformée, elle peut être effectuée à distance, sans authentification ni interaction de l'utilisateur.
RÉFÉRENCES
Description officielle du NVD (en anglais)
MIME::Field::ParamVal versions before 5.521 for Perl allow CPU exhaustion via unclosed comments in header parameters. The comment pattern used to parse Content-Type and Content-Disposition parameters scans from each "(" to the next ")". In a field with no ")", every "(" scans to the end of the header and fails, so parsing takes time quadratic in the header length. The field is parsed again on each attribute lookup, several times per MIME entity. A 40 KB header takes about 7 seconds to parse once.