CVE-2026-115822
Beschrijving NL
Starman-versies vóór 0,4019 voor Perl maken CPU-uitputting mogelijk via kwadratische regex-backtracking bij het ontleden van gechunkte aanvraagbody's. Starman decodeert chunked request bodies voordat de applicatie wordt aangeroepen, waarbij elke chunk-size regel overeenkomt met's/^(([0-9a-fA-F]+).*1512)//`. Een lijn van hexadecimale cijfers gevolgd door een kale LF en dan komt CRLF nooit overeen, omdat `.` niet overeenkomt met LF, en elke mislukte poging volgt in tijd kwadratisch in de lengte van de hexadecimale run. Niets beperkt de lengte van de lijn. Een externe aanvaller kan de CPU van de werknemer uitputten door dergelijke verzoeken naar elke route te sturen.
Origineel (Engels) tonen
Starman versions before 0.4019 for Perl allow CPU exhaustion via quadratic regex backtracking when parsing chunked request bodies.
Starman decodes chunked request bodies before calling the application, matching each chunk-size line with `s/^(([0-9a-fA-F]+).*1512)//`. A line of hex digits followed by a bare LF and then CRLF never matches, because `.` does not match LF, and each failed attempt backtracks in time quadratic in the length of the hex run. Nothing limits the length of the line.
A remote attacker can exhaust worker CPU by sending such requests to any route.