CVE-2026-115822

Perl için Starman'in 0.4019 öncesi sürümleri, parçalı (chunked) istek gövdeleri ayrıştırılırken kuadratik regex geri izleme yoluyla CPU tükenmesine izin verir. Starman, uygulamayı çağırmadan önce parçalı istek gövdelerini çözer ve her bir parça boyutu satırını `s/^(([0-9a-fA-F]+).*\015\012)//` ile eşleştirir. Onaltılık rakamlardan oluşan bir satırı takip eden yalın bir LF ve ardından gelen CRLF hiçbir zaman eşleşmez; çünkü `.` karakteri LF ile eşleşmez ve başarısız olan her deneme, onaltılık dizinin uzunluğunun karesiyle orantılı olarak zamanda geri izleme yapar. Satır uzunluğunu sınırlayan herhangi bir mekanizma yoktur. Uzak bir saldırgan, herhangi bir rotaya bu tür istekler göndererek çalışan işlemci (worker CPU) kaynaklarını tüketebilir.