CVE-2026-49941highCWE-1287CWE-674

CVE-2026-49941: fallo de gravedad alta en RRWO Net::CIDR::Set

Net::CIDR::Set versions through 0.20 for Perl did not validate IP addresses

Publicada el

Seguir esta CVE+ Monitorear Net::CIDR::Set+ Monitorear libnet-cidr-set-perl

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 0.3%
En resumen

La biblioteca Net::CIDR::Set de Perl, versiones hasta 0.20, no valida correctamente direcciones IP antes de procesarlas. Un atacante puede enviar direcciones IP malformadas que causan que el programa entre en un bucle infinito, derribando la aplicación.

Detalle técnico

El método add de Net::CIDR::Set hasta versión 0.20 carece de validación de entrada en direcciones IP; las entradas malformadas que no coinciden con patrones de máscara o rango se pasan recursivamente a _encode como netmasks de 32 o 128 bits, provocando recursión indefinida y negación de servicio. El vector de ataque es invocación directa del método con cadenas IP manipuladas.

Resumen generado y traducido por IA a partir de la descripción oficial.
Net::CIDR::Set versions through 0.20 for Perl did not validate IP addresses. The add method called the _encode method to parse addresses. If the addresses did not look like netmasks or network ranges, then they were assumed to single IP addresses and passed back to itself as a 32-bit or 128-bit netmask. If the argument was not a well-formed IP address, then this would lead to indefinite recursion. An attacker could use this to cause a denial of service.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
RRWO · Net::CIDR::Set
CVEs relacionadas — RRWO Net::CIDR::Set

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-19566HIGHNet::CIDR::Set versions before 0.23 for Perl allow memory exhaustion and malformed set ranges via unbounded IPv6 prefix lengthsEPSS 0.6%CVE-2025-40911MEDIUMNet::CIDR::Set versions 0.10 through 0.13 for Perl does not properly consider leading zero characters in IP CIDR address strings, which could allow attackers to bypass access control that is based on IP addressesEPSS 0.4%CVE-2026-49942HIGHNet::CIDR::Set versions through 0.20 for Perl did not validate network masksEPSS 0.3%CVE-2026-49940MEDIUMNet::CIDR::Set versions through 0.20 for Perl accept non-ASCII IP addresses and netmasksEPSS 0.2%