„`html
Zusammenfassung
CVE-2026-13397 beschreibt eine Denial-of-Service (DoS) Schwachstelle in der Perl-Bibliothek HTML::Bare in Versionen bis 0.04. Die Vulnerabilität ermöglicht es Angreifern, durch das Einschleusen speziell manipulierter HTML-Attribute eine Endlosschleife auszulösen, die zu einer vollständigen Ressourcenerschöpfung führt.
Betroffene Systeme
Betroffen sind alle Systeme, die HTML::Bare Version 0.04 oder älter einsetzen. Die aktuelle CPAN-Version ist 0.02, während neuere Versionen im Git-Repository verfügbar sind. Besonders gefährdet sind Webanwendungen und Server, die HTML::Bare zur Verarbeitung von Benutzereingaben verwenden.
Technische Details
Die Schwachstelle liegt in der Funktion parserc_parse, die beim Parsen fehlerhafter HTML-Attribute nicht ordnungsgemäß den Parse-Status-Cursor fortschreitet. Dies führt zu einer Endlosschleife.
Folgende Eingaben können die Vulnerabilität auslösen:
- Namenlose Attribute:
<a ='c'> - Unausgewogene AnfĂĽhrungszeichen:
<a b='''''''c'>
Angreifer können diese Malformed-Attribute in HTML-Inhalte einbetten, um den Parser in eine Endlosschleife zu treiben. Dies verursacht hohe CPU-Auslastung und führt zur Dienstunterbrechung.
Empfohlene Massnahmen
- Upgrade auf eine aktualisierte Version von HTML::Bare aus dem Git-Repository durchfĂĽhren
- CPAN-Versionen ĂĽberprĂĽfen und bei VerfĂĽgbarkeit neuerer Patches aktualisieren
- Input-Validierung implementieren, um malformed HTML zu filtern
- Rate-Limiting fĂĽr HTML-Parser-Anfragen einfĂĽhren
- Systemressourcen (CPU, Memory) ĂĽberwachen und Limits setzen
Bewertung
Mit einem CVSS-Score von 7.5 ist diese Schwachstelle als High-Risk einzustufen. Der Angriffsvektor ist Netzwerk-basiert und erfordert keine Authentifizierung. Das DoS-Potenzial gefährdet die Verfügbarkeit betroffener Systeme erheblich.
„`