Vulnerabilidad en DataDog::DogStatsd de BINARY (CVE-2026-11362)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-93 Neutralización incorrecta de secuencias de retornos de carro y saltos de linea (CRLF)

Fecha de publicación:

05/06/2026

Última modificación:

25/10/2026

Descripción

Las versiones de DataDog::DogStatsd hasta la 0.07 para Perl permiten inyecciones de métricas desde etiquetas de eventos.<br /> <br /> DataDog::DogStatsd no sanea correctamente la entrada, permitiendo inyecciones de métricas de datos desde fuentes no confiables.<br /> <br /> El método format_event (utilizado por el método event) no valida el contenido de las etiquetas, que pueden contener comas (permitiendo la inyección de etiquetas) o saltos de línea, barras verticales y dos puntos que permiten inyecciones de métricas. (Existe un s/|//g ineficaz para eliminar barras verticales, pero debido a que la barra vertical no está escapada, se interpreta como un metacaracter de expresión regular y no tiene efecto.)

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto