CVE-2026-46719: falha de média gravidade em RRWO Net::Statsd::Lite
Net::Statsd::Lite versions before 0.9.0 for Perl allowed metric injections
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Uma falha em Net::Statsd::Lite permite que invasores injetem métricas extras em sistemas de monitoramento ao adicionar caracteres especiais nos nomes das métricas. Isso pode desativar o monitoramento, ocultar dados reais ou enviar métricas falsas.
Vulnerabilidades CWE-150 e CWE-93: nomes de métricas não validam caracteres de quebra de linha, dois-pontos e pipe, permitindo injeção de comandos arbitrários no protocolo StatsD. A exploração requer que um atacante controle os nomes de métricas passados à biblioteca; a injeção bem-sucedida pode introduzir métricas falsas ou manipulação de protocolo afetando a integridade do monitoramento.
No mesmo produto, das mais perigosas para as menos.