PT-2026-45891 · Cpan · Cpanel::Json::Xs
Paul Johnson
·
Publicado
2026-06-01
·
Atualizado
2026-06-07
·
CVE-2026-9334
CVSS v3.1
7.3
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L |
Nome do Software Vulnerável e Versões Afetadas
Cpanel::JSON::XS versões anteriores a 4.41
Description
Ocorre uma confusão de tipos quando
dupkeys as arrayref está habilitado, permitindo que chaves de objeto duplicadas causem a interrupção do sistema. A função decode hv() agrupa chaves duplicadas em uma referência de array; no entanto, ela realiza uma operação de desreferenciação em old value antes de confirmar que este é realmente uma referência. Se o valor existente for um escalar simples, o sistema tenta desreferenciar um escalar não-referência usando um ponteiro derivado de conteúdo controlado por um atacante.Recommendations
Atualize para a versão 4.41 ou posterior.
Como medida paliativa temporária, desabilite a opção
dupkeys as arrayref ao decodificar JSON não confiável.Correção
Type Confusion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cpanel::Json::Xs