CVE-2026-116285
Publiée le 2026-10-28 · Dernière modification le 2026-10-29
Les versions de HTTP::Body antérieures à 1.23_01 pour Perl sont utilisées pour analyser le corps des requêtes HTTP. La faille réside dans la manière dont le module gère les requêtes « chunked » (fragmentées), lesquelles sont envoyées lorsque la longueur totale du contenu est inconnue. Plus précisément, une expression régulière mal conçue amène le système à consommer une puissance de traitement excessive lorsqu'il rencontre une séquence spécifique de caractères dans l'en-tête de la requête.
Un attaquant distant peut faire planter ou figer votre application en envoyant une requête spécialement conçue qui consomme toutes les ressources CPU disponibles. Cela entraîne un déni de service, affectant la disponibilité de votre serveur. Aucune authentification ni interaction de l'utilisateur n'est requise ; l'attaquant a seulement besoin d'un accès réseau au service utilisant la bibliothèque concernée.
RÉFÉRENCES
Description officielle du NVD (en anglais)
HTTP::Body versions before 1.23_01 for Perl allow CPU exhaustion via quadratic regex backtracking when parsing chunked request bodies. In chunked mode, used when no content length is given, add() matches each chunk-size line with `/^([\da-fA-F]+).*\x0D\x0A/`. On a line of hex digits whose first LF has no CR before it, the digits and `.*` backtrack against each other, so a single add() takes time quadratic in the line's length. Nothing limits how long the line can be. A remote attacker can exhaust CPU in applications that pass chunked request bodies to HTTP::Body.