SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-14895

WysokieCVSS 7.5
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.63%

Percentyl 50 - wyżej niż 50% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece String::Util dla Perla przed wersją 1.36 umożliwia atak typu Regular Expression Denial of Service (ReDoS). Funkcje trim i rtrim używają wyrażenia regularnego s/\s*$//u, które przy długim ciągu białych znaków powoduje kwadratowe cofanie się silnika regex, prowadząc do wyczerpania CPU.

Ocena ryzyka

Organizacja narażona jest na atak DoS, jeśli przetwarza niezaufane dane wejściowe za pomocą funkcji trim lub rtrim. Atakujący może wysłać ciąg znaków zawierający długi fragment białych znaków, powodując znaczne obciążenie procesora i potencjalne przerwanie działania aplikacji.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę String::Util do wersji 1.36 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć przetwarzanie niezaufanych danych przez funkcje trim i rtrim lub zastosować własną implementację usuwania białych znaków.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

String::Util versions before 1.36 for Perl are susceptible to a regular expression denial of service. The trim and rtrim functions stripped trailing whitespace with s/\s*$//u. Because \s* matches greedily and the $ anchor fails whenever a non-whitespace character follows the whitespace, the regex engine retries the match at each offset of a long whitespace run, producing quadratic backtracking. The fix replaces \s*$ with \s+$. Any caller that passes untrusted input to trim or rtrim can trigger CPU exhaustion with a string containing a long run of whitespace.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS