CVE-2026-19566

{
  "id": "CVE-2026-19566",
  "sourceIdentifier": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
  "published": "2026-08-12T09:17:29.753",
  "lastModified": "2026-10-23T20:10:00.160",
  "vulnStatus": "Deferred",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "Net::CIDR::Set versions before 0.23 for Perl allow memory exhaustion and malformed set ranges via unbounded IPv6 prefix lengths.\n\nThe _encode method accepts any prefix length matching `(0|[1-9][0-9]*)` and passes it to _width2bits(), which builds the mask as `'1' x ($width + 8)`, one character per bit. The _inc() method then unpacks the packed mask into a Perl array of one scalar per byte, so the prefix length alone sets the allocation size: `::/100000000` builds a 100 MB string and a 12.5 million element array. The value being tested is parsed, not just the configured ranges: contains() builds a set from its argument, and _guess_coder() tries the IPv4 coder and then the IPv6 coder, so an IPv4-only set expands an oversized IPv6 prefix length before the mixed address width check rejects it.\n\nAny caller that passes untrusted input to contains() or add() can exhaust process memory. A prefix length above 128 is also stored as a range that does not match the requested block: 2001:db8::/129 stringifies back unchanged, contains() of its own base address returns false, and removing it from a set drops the base address while the set still prints as covering it."
    },
    {
      "lang": "es",
      "value": "Versiones de Net::CIDR::Set anteriores a la 0.23 para Perl permiten el agotamiento de la memoria y rangos de conjunto mal formados a través de longitudes de prefijo IPv6 ilimitadas.\n\nEl método _encode acepta cualquier longitud de prefijo que coincida con “(0|[1-9][0-9]*)” y la pasa a _width2bits(), que construye la máscara como “’1’ x ($width + 8)”, un carácter por bit. El método _inc() luego desempaqueta la máscara empaquetada en un array de Perl de un escalar por byte, por lo que la longitud del prefijo por sí sola establece el tamaño de asignación: “::/100000000” construye una cadena de 100 MB y un array de 12.5 millones de elementos. El valor que se está probando se analiza, no solo los rangos configurados: contains() construye un conjunto a partir de su argumento, y _guess_coder() prueba el codificador IPv4 y luego el codificador IPv6, por lo que un conjunto solo IPv4 expande una longitud de prefijo IPv6 sobredimensionada antes de que la verificación de ancho de dirección mixta lo rechace.\n\nCualquier llamador que pase entrada no confiable a contains() o add() puede agotar la memoria del proceso. Una longitud de prefijo superior a 128 también se almacena como un rango que no coincide con el bloque solicitado: 2001:db8::/129 se convierte a cadena sin cambios, contains() de su propia dirección base devuelve falso, y al eliminarlo de un conjunto se elimina la dirección base mientras que el conjunto aún se imprime como si lo cubriera."
    }
  ],
  "affected": [
    {
      "source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
      "affectedData": [
        {
          "vendor": "RRWO",
          "product": "Net::CIDR::Set",
          "defaultStatus": "unaffected",
          "collectionURL": "https://cpan.org/modules",
          "packageName": "Net-CIDR-Set",
          "programFiles": [
            "lib/Net/CIDR/Set/IPv6.pm",
            "lib/Net/CIDR/Set.pm"
          ],
          "programRoutines": [
            {
              "name": "Net::CIDR::Set::IPv6::_encode"
            },
            {
              "name": "Net::CIDR::Set::IPv6::_width2bits"
            }
          ],
          "repo": "https://github.com/robrwo/perl-Net-CIDR-Set",
          "versions": [
            {
              "version": "0",
              "lessThan": "0.23",
              "versionType": "custom",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "baseScore": 7.5,
          "baseSeverity": "HIGH",
          "attackVector": "NETWORK",
          "attackComplexity": "LOW",
          "privilegesRequired": "NONE",
          "userInteraction": "NONE",
          "scope": "UNCHANGED",
          "confidentialityImpact": "NONE",
          "integrityImpact": "NONE",
          "availabilityImpact": "HIGH"
        },
        "exploitabilityScore": 3.9,
        "impactScore": 3.6
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-08-12T19:49:22.654200Z",
          "id": "CVE-2026-19566",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-789"
        },
        {
          "lang": "en",
          "value": "CWE-1284"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://github.com/robrwo/perl-Net-CIDR-Set/commit/e16b27db676fd1ca671fbb31208a22c1b1ba9724.patch",
      "source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
    },
    {
      "url": "https://github.com/robrwo/perl-Net-CIDR-Set/security/advisories/GHSA-grjr-r4x5-mx4p",
      "source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
    },
    {
      "url": "https://metacpan.org/release/RRWO/Net-CIDR-Set-0.23/changes",
      "source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
    },
    {
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-49942",
      "source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
    }
  ]
}