Cpanel::JSON::XS para Perl: 15 CVEs corrigidas a partir da versão 4.80

O que aconteceu e o que fazer

O aviso, publicado por Stig Palmquist na lista oss-sec em 19 de outubro, descreve 15 CVEs no Cpanel::JSON::XS, módulo de JSON para Perl. Segundo o texto, as versões anteriores à 4.80 apresentam três categorias de problema: a CVE-2026-110672 faz com que a chave decodificada de um objeto rejeitado vaze, quando o objeto contém chave duplicada ou falta dois-pontos, no caminho decode_hv; a CVE-2026-110673 permite esgotamento de pilha com valores aninhados marcados por allow_tags, em decode_tag; e a CVE-2026-110674, que afeta da versão 4.33 até antes da 4.80, não detecta chaves simples não ASCII duplicadas, o que permite confusão de tipos.

Para uma empresa que usa Perl para processar JSON vindo de terceiros, o ponto prático é tratar esses dados como não confiáveis antes de qualquer decodificação. Um primeiro passo é inventariar quais sistemas dependem do módulo e em qual versão, inclusive dependências transitivas. Depois, planejar a atualização para a 4.80 ou superior, com testes de regressão sobre os fluxos de entrada, e avaliar se endpoints que aceitam JSON externo precisam de limites de profundidade de aninhamento e de tamanho de payload enquanto a atualização não chega.

Como a consultoria pode ajudar

Podemos fazer um diagnóstico de exposição: levantar onde o Cpanel::JSON::XS está em uso, em quais versões, e quais entradas externas chegam a esses pontos de decodificação. A partir disso, propomos um plano escopado de atualização, com testes de regressão, validação de entrada e monitoramento de erros de parsing.

Próximo passo

Se sua equipe mantém sistemas Perl que processam JSON de clientes, parceiros ou APIs externas, envie uma descrição curta do seu cenário. Respondemos com uma proposta escopada para diagnóstico e correção.