CVE-2026-46741
Publiée le 2026-06-04 · Dernière modification le 2026-07-22
Les applications Perl utilisant la bibliothèque Etsy::StatsD (version 1.002002 et versions antérieures) sont vulnérables à l'injection de métriques. Un attaquant non authentifié disposant d'un accès réseau peut envoyer des données spécialement conçues, contenant des sauts de ligne ou des pipes, pour injecter de fausses métriques dans votre système de surveillance, ce qui pourrait masquer le comportement réel du système ou déclencher de fausses alertes. Cette exploitation est facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Etsy::StatsD versions through 1.002002 for Perl allow metric injections. The metric names and values are not checked for newlines, colons or pipes. Metrics generated from untrusted sources could inject additional statsd metrics. Note that the git repository contains an unreleased version with the gauge and set methods that also do not check for potential metric injections.