CVE-2026-113877
Təsvir
Perl üçün HTTP::Headers::ActionPack-in 0.10 versiyasından əvvəlki versiyaları, müntəzəm ifadələr kimi uyğunlaşdırılan Accept-Language diapazonları vasitəsilə CPU resurslarının tükənməsinə yol açır. _language_match hər bir Accept-Language diapazonunu escape etmədən `/^$range\-/i` şablonuna daxil edir, buna görə də başlıqdakı müntəzəm ifadə sintaksisi regex mühərrikinə çatır. Məsələn, `(a?|b?){26}z` kimi 12 baytlıq diapazon saniyələrlə geri izləmə (backtracking) həyata keçirir və kvantifikatorun hər artımı vaxtı ikiqat artırır. `(` kimi yanlış diapazon isə kompilyasiya zamanı xətaya səbəb olur. Uzaqdan hücum edən şəxs, etibarsız Accept-Language başlığını bu funksiyaya ötürən istənilən tətbiqdə CPU resurslarını tükəndirə və ya choose_language funksiyasının dayanmasına səbəb ola bilər.
Necə düzəltmək olar
- HTTP-Headers-ActionPack0.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| HTTP-Headers-ActionPack | v < 0.10 | 0.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.