CVE-2026-110674
Las versiones de Cpanel::JSON::XS desde la 4.33 hasta la 4.80 para Perl no detectan claves desnudas duplicadas que contienen caracteres no ASCII, lo que permite una confusión de tipos con dupkeys_as_arrayref en decode_hv.
Con allow_barekey, que se activa con relaxed, una clave desnuda que contiene un byte no ASCII se almacena como UTF-8, pero se busca como bytes en bruto; por ello, una clave repetida evade la comprobación de claves duplicadas y sustituye al valor anterior.
Desde la 4.41, con dupkeys_as_arrayref, una repetición desnuda sustituye el array que agrupa los valores de una clave por un valor simple, y la siguiente repetición entrecomillada añade elementos a ese valor como si fuera un array.
Leer descripción completaMostrar menos
Un entero JSON en esa posición se desreferencia como si fuera un puntero.
Un JSON no fiable decodificado con relaxed y dupkeys_as_arrayref puede bloquear el proceso o desreferenciar una dirección elegida mediante un número JSON.
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.20 %
- Percentil entre todas las CVEs puntuadas
- 9
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-176, CWE-843
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-110674",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
"affectedData": [
{
"repo": "https://github.com/rurban/Cpanel-JSON-XS",
"modules": [
"Cpanel::JSON::XS"
],
"versions": [
{
"status": "affected",
"version": "4.33",
"lessThan": "4.80",
"versionType": "custom"
}
],
"packageURL": "pkg:cpan/Cpanel-JSON-XS",
"packageName": "Cpanel-JSON-XS",
"programFiles": [
"XS.xs"
],
"collectionURL": "https://cpan.org/modules",
"defaultStatus": "unaffected",
"programRoutines": [
{
"name": "decode_hv"
}
]
}
]
}
],
"published": "2026-10-19T19:17:21.090",
"references": [
{
"url": "https://github.com/rurban/Cpanel-JSON-XS/commit/c52037857d6a99d96ebd1ce3e2fa769505f028cf.patch",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
},
{
"url": "https://metacpan.org/release/RURBAN/Cpanel-JSON-XS-4.80/changes",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
},
{
"url": "https://www.cve.org/CVERecord?id=CVE-2026-9334",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
"description": [
{
"lang": "en",
"value": "CWE-176"
},
{
"lang": "en",
"value": "CWE-843"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Cpanel::JSON::XS versions from 4.33 before 4.80 for Perl miss duplicate non-ASCII bare keys, allowing type confusion under dupkeys_as_arrayref in decode_hv.\n\nWith allow_barekey, which relaxed enables, a bare key containing a non-ASCII byte is stored as UTF-8 but looked up as raw bytes, so a repeated key escapes the duplicate-key check and replaces the earlier value.\n\nFrom 4.41, under dupkeys_as_arrayref, a bare repeat replaces the array that collects a key's values with a plain value, and the next quoted repeat pushes onto that value as if it were an array. A JSON integer there is dereferenced as a pointer.\n\nUntrusted JSON decoded with relaxed and dupkeys_as_arrayref can crash the process or dereference an address chosen by a JSON number."
}
],
"lastModified": "2026-10-19T20:50:17.967",
"sourceIdentifier": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
}