CVE-2026-56017

Perl için JavaScript::Minifier::XS 0.16 öncesi sürümler, girdinin ilk anlamlı belirteci bir eğik çizgi olduğunda NULL işaretçi başvurusu nedeniyle çökmektedir. JsTokenizeString (XS.xs) içerisindeki düzenli ifade ile bölme işlemi ayrıştırıcısı, bir düzenli ifade sabit değeri ile bölme operatörü arasında seçim yapmak için önceki belirtecin son baytını inceler. Eğik çizginin; girdinin başlangıcıyla veya önünde yalnızca boşluk ve yorumlar olacak şekilde ilk anlamlı belirteç olduğu durumlarda, geçerli bir önceki belirteç bulunmamaktadır: Boşluk ve yorum düğümleri üzerindeki geri yürütme işlemi, düğüm listesinin başından dışarı çıkarak NULL değerine ulaşır ve bayt araması, düşük akışlu bir uzunluk dizininde NULL içerik işaretçisi üzerinden okuma yapar. Ardından gelen tanımlayıcı kontrolü aynı NULL işaretçisine başvurur. Çökme, genel minify() API'si aracılığıyla tetiklenebilir, bu nedenle tek bir eğik çizgi baytı kadar küçük bir girdi bile çağıran işlemin çökmesine neden olur. Güvenilmeyen veya üçüncü taraf JavaScript dosyalarını küçülten bir servis, uzak bir istek tarafından çökertilerek hizmet reddine yol açabilir.