CVE-2026-14741

Perl için HTTP::Date'in 6.08 öncesi sürümleri, parse_date fonksiyonundaki polinomsal regex geri izleme (backtracking) yoluyla CPU tükenmesine izin verir. parse_date(), tarih dizisini alternatif regex zinciriyle eşleştirir ve str2time() işlemi ona devreder. Bu desenlerin birkaçı, sondaki `\s*$` çapasından önce sınırsız belirleyicileri yan yana yerleştirir. Geçerli bir tarih önekinin ardından gelen uzun rakam, harf veya boşluk dizisi ve son eşleşmeyi bozan tek bir sondaki bayt, motorun diziyi yeniden bölümlendirmesine neden olarak polinomsal (yaklaşık karesel) geri izlemeye yol açar. Birkaç on kilobaytlık bir başlık değeri, onlarca saniye boyunca CPU çalıştırır. HTTP::Date; genellikle güvenilmeyen kaynaklardan gelen HTTP `Date`, `Expires` ve `Last-Modified` başlıkları gibi zaman damgalarını ayrıştırır. str2time() veya parse_date() fonksiyonuna güvenilmeyen bir tarih başlığı ileten herhangi bir çağrıcı, sınırsız CPU tüketimine zorlanarak hizmet reddine (DoS) neden olabilir.