CVE-2026-120651
CGI versions before 5.00 for Perl allow an infinite loop on a short request body when $DISABLE_UPLOADS is set
CVSS 3.1Medium
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите модуль CGI для Perl до версии 5.00.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В модуле CGI для Perl до версии 5.00 обнаружен бесконечный цикл при обработке короткого тела запроса, приводящий к зависанию процесса сервера.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При активном параметре $CGI::PUTDATA_UPLOAD или upload hook функция read_postdata_putdata считывает тело запроса, не являющееся отправкой формы. Если включён $CGI::DISABLE_UPLOADS, функция сбрасывает данные чтением до размера Content-Length, однако при преждевременном завершении короткого тела чтение постоянно возвращает 0, зацикливая выполнение.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Клиент может вызвать бесконечный цикл и зависание процесса сервера отправкой одного запроса (отказ в обслуживании).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- metacpan.orghttps://metacpan.org/release/LEEJO/CGI-4.72/source/lib/CGI.pm
- metacpan.orghttps://metacpan.org/release/LEEJO/CGI-5.00/changes
- github.comhttps://github.com/leejo/CGI.pm/commit/16d9f61acf8b844b7360e8d726338e3ce34dfa9f.patch
- github.comhttps://github.com/leejo/CGI.pm/commit/8a78305065690461ae283fa24e5ebe4ec8a22fbc.patch
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-120651: CGI versions before 5.00 for Perl allow an infinite loop on a short request body when $DISABLE_UPLOADS is set. URL: https://cve.futuretools.ru/cve/CVE-2026-120651
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_120651,
title = {{CVE-2026-120651: CGI versions before 5.00 for Perl allow an infinite loop on a short request body when $DISABLE_UPLOADS is set}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-120651}},
note = {Оперативный инженерный анализ киберугроз}
}