CVE-2026-72888
Açıklama
Perl için Net::OAuth 0.32 öncesi sürümler, smart_require içinde başarısız modül yüklemelerinin sınırsız önbelleğe alınması yoluyla bellek tükenmesine izin verir. smart_require, sonuçları sınır ve tahliye olmaksızın süreç genelinde bir hash'te saklar ve hata kontrol edilmeden önce başarısız eval'in dönüş değeri saklandığı için yüklenemeyen adlar da dahil olmak üzere sorgulanan her sınıf adı için bir girdi tutar. Anahtar, sunucu tarafında ağdan gelir: _signature_method_class, sınıf adını gelen mesajın signature_method parametresinden oluşturur ve verify, herhangi bir imza kontrol edilmeden önce bunu çözer. Uzak bir istemci hem kaç girdi oluşturulacağını hem de her anahtarın ne kadar uzun olacağını seçer. Kalıcı bir sunucuda hash, çalışan sürecin ömrü boyunca bellek tükenene kadar büyür. Başlık boyutu sınırları, Authorization başlığı yolunda anahtar uzunluğunu sınırlar, ancak POST gövdesinde sınırlamaz.
Nasıl düzeltilir
- Net-OAuth0.32 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Net-OAuth | v < 0.32 | 0.32 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.