PT-2026-56275 · Cpan · String::Util

Scott Baker · Publicado 2026-07-07 · Atualizado 2026-07-08 · CVE-2026-14895

Positive Technologies (AI Summary) · Pt

Nome do Software Vulnerável e Versões Afetadas String::Util versões anteriores a 1.36

Description O String::Util para Perl é suscetível a uma negação de serviço por expressão regular. As funções trim() e rtrim() utilizam uma expressão regular para remover espaços em branco no final. Como o padrão s* corresponde de forma gananciosa e a âncora $ falha quando um caractere que não seja espaço segue o espaço em branco, o mecanismo de regex executa um backtracking quadrático em sequências longas de espaços. Um invasor que forneça entradas não confiáveis contendo uma longa sequência de espaços para essas funções pode causar exaustão de CPU.

Recommendations Atualize o String::Util para a versão 1.36 ou posterior. Como medida paliativa temporária, restrinja o uso das funções trim() e rtrim() ao processar entradas não confiáveis.

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2026-14895

Produtos afetados

String::Util

Referências · 8

• https://github.com/scottchiefbaker/String-Util/releases · Nota
• https://github.com/scottchiefbaker/String-Util/commit/f8150867aaeb8f57c59601aefb2193f2caed8745.patch · Correção
• https://twitter.com/oss_security/status/2074705786681360839 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2074643362091774461 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2074645010478231892 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-14895 · Nota de Segurança
• http://openwall.com/lists/oss-security/2026/07/07/18 · Nota
• https://metacpan.org/release/BAKERSCOT/String-Util-1.36/diff/BAKERSCOT/String-Util-1.35#lib/String/Util.pm · Nota