CVE-2026-68914: Luka w Mojolicious powodująca awarię przez głębokie zagnieżdżenie JSON

Co wiadomo

W Mojolicious (Perl) przed wersją 9.47 implementacja Mojo::JSON bez Cpanel::JSON::XS nie ograniczała głębokości zagnieżdżenia JSON. Atakujący mogą przesłać głęboko zagnieżdżone dane JSON, co prowadzi do nieograniczonej rekurencji, wyczerpania pamięci i awarii procesu.

Wpływ biznesowy

Aplikacje korzystające z czystej implementacji Mojo::JSON bez Cpanel::JSON::XS są narażone na ataki powodujące awarie i potencjalne przestoje systemów. Może to skutkować utratą dostępności usług oraz zwiększonym ryzykiem operacyjnym dla infrastruktury IT. Systemy z backendem Cpanel::JSON::XS nie są podatne na ten problem.

Rekomendowane działania administratora

Zaleca się aktualizację Mojolicious do wersji 9.47 lub nowszej, gdzie problem został rozwiązany. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz ekspozycję usług przyjmujących JSON oraz monitoruj logi pod kątem nietypowych, głęboko zagnieżdżonych danych. Weryfikuj wersje komponentów i stosuj zarządzane poprawki. DataHouse może pomóc w weryfikacji wersji i zarządzaniu aktualizacjami oraz monitoringu bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference