CVE-2026-116130— HTTP::Parser::XS 0.18 前路径信息截断漏洞
一分钟漏洞结论
影响对象
CVE-2026-116130
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Perl 的 HTTP::Parser::XS 模块在 0.18 版本之前存在漏洞：在 函数中，若请求路径（PATH_INFO）包含经过编码的空字节（NUL byte），该函数会将其截断。 具体而言，XS 解析器会对请求路径进行 URL 解码，随后使用 函数测量解码后的结果长度。由于 在遇到第一个空字节（即 解码后的字节）时即终止，导致 被截断至该位置。纯 Perl 实现的后端不受此问题影响。 远程攻击者可构造包含此类路径的请求，使得代理服务器或安全过滤器基于完整路径进行检查，而目标应用程序却基于被截断后的较短路径
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application一、 漏洞 CVE-2026-116130 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
HTTP::Parser::XS versions before 0.18 for Perl truncate PATH_INFO at an encoded NUL byte in parse_http_request
来源: CVE Program / CVE List V5
Vulnerability Description
HTTP::Parser::XS versions before 0.18 for Perl truncate PATH_INFO at an encoded NUL byte in parse_http_request.
The XS parser URL-decodes the request path and measures the result with strlen(), so PATH_INFO ends at the first byte decoded from %00. The pure-Perl backend is not affected.
A remote attacker can send a path that a proxy or filter checks in full while the application routes on a shorter one.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
空字节交互错误
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| - | - | 0 ~ 0.18 | - |
|
二、漏洞 CVE-2026-116130 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-116130 的情报信息
请登录查看更多情报信息。