CVE-2026-117500— Perl HTTP::Body 1.24_01 前多部分上传拒绝服务漏洞
一分钟漏洞结论
影响对象
CVE-2026-117500
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Perl 语言中 HTTP::Body 模块在 1.24_01 版本之前的版本存在漏洞，攻击者可利用 multipart 上传文件名的正则回溯导致 CPU 资源耗尽。 对于 multipart 上传中的每个文件部分，解析器会尝试使用默认的正则表达式 （即 ）在整个文件基本名上匹配，以提取上传文件名的后缀。若构造一个由大量点号组成且以反斜杠结尾的基本名，该正则表达式在匹配时将产生与文件名长度平方成正比的时间复杂度回溯。 远程攻击者仅需发送一次请求即可耗尽服务器 CPU 资源：一个约 32 KB 的基本名需要数秒才能完
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application一、 漏洞 CVE-2026-117500 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
HTTP::Body versions before 1.24_01 for Perl allow CPU exhaustion via regex backtracking on the filename of a multipart upload
来源: CVE Program / CVE List V5
Vulnerability Description
HTTP::Body versions before 1.24_01 for Perl allow CPU exhaustion via regex backtracking on the filename of a multipart upload.
For every file part, the multipart parser finds the suffix of the uploaded filename by matching the default $basename_regexp, qr/[^.]+(\.[^\\\/]+)$/, against the whole basename. A basename made of many dots and ending in a backslash makes the regex backtrack in time quadratic in its length.
A remote attacker can exhaust CPU with one request, as a basename of about 32 KB takes several seconds to match and every file part is matched separately.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
CWE-1333
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| - | - | 0 ~ 1.24_01 | - |
|
二、漏洞 CVE-2026-117500 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-117500 的情报信息
请登录查看更多情报信息。