CVE-2026-87079

Perl üçün Net::IDN::Punycode-un 2.590-dan əvvəlki versiyaları, decode_punycode funksiyasında uzun etiket dekodlaşdırılarkən kvadratik daxiletmə xərci vasitəsilə CPU resurslarının tükənməsinə yol açır. XS backend-i hər bir dekodlaşdırılmış kod nöqtəsini UTF-8 buferinə daxil edir və daxiletmə nöqtəsini həmin buferi başlanğıcdan başlayaraq hər dəfə bir simvolla skan etməklə tapır. Skan prosesi hər bir kod nöqtəsi üçün indiyədək qurulmuş çıxış üzrə bir dəfə işlədilir, buna görə də xərc etiket uzunluğuna görə kvadratikdir. Pure-Perl backend-i substr funksiyasının onu birbaşa indeksləyə bilməsi üçün giriş məlumatlarını baytlara endirir, lakin işçi nüsxəsini bu endirmədən əvvəl götürür; beləliklə, giriş UTF-8 bayrağını daşıdıqda, nüsxədəki hər bir substr əməliyyatı eyni kvadratik xərclə başlanğıcdan skan aparır. To-Unicode istiqamətində etiket uzunluğu üçün heç bir məhdudiyyət yoxdur. 63 baytlıq DNS limiti yalnız ASCII-yə çevrilərkən yoxlanılır, buna görə də domain_to_unicode və uts46_to_unicode funksiyaları hücumçu tərəfindən təqdim edilmiş istənilən uzunluqda etiketi dekoderə ötürür.