CVE-2026-117500
Publiée le 2026-10-28 · Dernière modification le 2026-10-29
Les applications Perl utilisant des versions de HTTP::Body antérieures à 1.24_01 sont concernées. Ce module est utilisé pour analyser les corps de requêtes HTTP, spécifiquement pour la gestion des téléchargements de fichiers multipart. La faille survient lorsque le logiciel tente d'identifier l'extension d'un fichier à l'aide d'une expression régulière ; un nom de fichier spécialement conçu, contenant de nombreux points et se terminant par un antislash, force le système à entrer dans une boucle de calculs coûteux appelée « backtracking » de regex.
Un attaquant distant peut déclencher cet épuisement du processeur (CPU) en envoyant une seule requête HTTP malveillante contenant un nom de fichier volumineux et manipulé. Le temps de traitement augmentant de manière quadratique par rapport à la longueur du nom de fichier, une chaîne de 32 Ko peut paralyser un cœur de processeur pendant plusieurs secondes. Cela impacte la disponibilité en risquant de faire planter le serveur ou de ralentir considérablement son fonctionnement, et l'exécution de cette attaque ne nécessite ni authentification ni interaction de l'utilisateur.
RÉFÉRENCES
Description officielle du NVD (en anglais)
HTTP::Body versions before 1.24_01 for Perl allow CPU exhaustion via regex backtracking on the filename of a multipart upload. For every file part, the multipart parser finds the suffix of the uploaded filename by matching the default $basename_regexp, qr/[^.]+(\.[^\\\/]+)$/, against the whole basename. A basename made of many dots and ending in a backslash makes the regex backtrack in time quadratic in its length. A remote attacker can exhaust CPU with one request, as a basename of about 32 KB takes several seconds to match and every file part is matched separately.