CVE-2026-14741

Perl üçün HTTP::Date 6.08-dən əvvəlki versiyaları parse_date funksiyasında polinomial regex geriyə qayıtma yolu ilə CPU-nun tükənməsinə imkan verir. parse_date() tarix sətrini alternativ regexlər zənciri ilə uyğunlaşdırır və str2time() bu funksiyaya müraciət edir. Bu şablonların bir neçəsi sonrakı `\s*$` ankerindən əvvəl bir-birinin yanında məhdudiyyətsiz kvantifikatorlar yerləşdirir. Etibarlı tarix prefiksi, ardınca rəqəmlər, hərflər və ya boşluqdan ibarət uzun daxili ardıcıllıq və son uyğunlaşmanı pozan tək son bayt mühərriki həmin ardıcıllığı yenidən bölməyə məcbur edərək polinomial (təxminən kvadratik) geriyə qayıtmaya səbəb olur. Bir neçə on kilobayt ölçüsündə başlıq dəyəri onlarla saniyə CPU işləməsinə səbəb olur. HTTP::Date HTTP `Date`, `Expires` və `Last-Modified` başlıqları kimi vaxt möhürlərini parse edir və bunlar adətən etibarsız mənbələrdən gəlir. Etibarsız tarix başlığını str2time() və ya parse_date() funksiyasına ötürən hər hansı çağıran məhdudiyyətsiz CPU istehlakına məruz qala bilər ki, bu da xidmətdən imtinadır.