CVE-2026-112921

WysokieCVSS 7.3

Opublikowano: 21/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece Perl Robots::Validate (wersje 0.4.3 do 0.4.10) polega na tym, że stan maszyny Aho-Corasick używanej do dopasowywania User-Agent nie jest resetowany między żądaniami. Jeśli User-Agent zakończy się w połowie nazwy robota, następny User-Agent sprawdzany przez ten sam obiekt może dokończyć tę nazwę, co prowadzi do błędnej klasyfikacji klienta jako robota.

Ocena ryzyka

Zdalny klient może wykorzystać tę podatność, aby spowodować, że witryna blokująca złe roboty będzie blokować innych odwiedzających, których prefiks User-Agent jest sufiksem nazwy robota. Może to prowadzić do odmowy dostępu dla legalnych użytkowników.

Rekomendacja

Zaktualizuj bibliotekę Robots::Validate do wersji 0.4.10 lub nowszej, która naprawia problem z resetowaniem stanu. Jeśli używasz Algorithm::AhoCorasick::XS, również zastosuj odpowiednią aktualizację.

Inne podatności w Robots::Validate

CVE-2026-82309Średnie
Robots::Validate dla Perla w wersjach od 0.3.2 przed 0.3.11 pozwala na nieograniczone wychodzące zapytania DNS podczas walidacji przez pętlę forward-confirmation, która nie ogranicza liczby zapytań. Atakujący może kontrolować strefę odwrotną swojego adresu, co pozwala na wygenerowanie dużej liczby zapytań DNS.

Oryginalny opis (angielski, źródło NVD)

Robots::Validate versions from 0.4.3 before 0.4.10 for Perl report clients as imposter robots when User-Agent matcher state carries over from a previous request. Each Robots::Validate object holds one pure-Perl Aho-Corasick search machine and feeds every User-Agent into it without resetting its state. A User-Agent that ends part-way through a robot name leaves the machine mid-match, so the next User-Agent checked by the same object can complete that name. That client's address is then checked against the robot's DNS rule, which it fails. A remote client can use this to make a site that blocks bad robots block other visitors where the prefix User-Agent string is a suffix of a robot being validated. Note that deployments with Algorithm::AhoCorasick::XS are also affected, since it was unused due to a different bug.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS