CVE-2026-50638
Publiée le 2026-06-10 · Dernière modification le 2026-10-26
Les applications Perl utilisant la bibliothèque `Metrics::Any::Adapter::DogStatsd` (versions antérieures à 0.04) sont vulnérables à l'injection de métriques. Un attaquant distant non authentifié peut envoyer des données spécifiquement conçues contenant des sauts de ligne ou des caractères de contrôle pour usurper des métriques ou écraser des données existantes dans votre système de surveillance. Comme cela ne nécessite ni authentification ni interaction de l'utilisateur, l'exécution via le réseau est triviale.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Metrics::Any::Adapter::DogStatsd versions before 0.04 for Perl does not protect against metric injections. The statsd protocol (and extensions such as dogstatsd) allow mutiple metrics, separated by newlines, to be sent per packet. Metrics::Any::Adapter::DogStatsd which extends Metrics::Any::Adapter::Statsd, which has a similar vulnerability. In addition, the _tags function does not check tags for newlines or statsd control characters. The tags can be used for metric injections.