Vulnerabilidad en Metrics::Any::Adapter::Statsd de PEVANS (CVE-2026-50637)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-93 Neutralización incorrecta de secuencias de retornos de carro y saltos de linea (CRLF)

Fecha de publicación:

10/06/2026

Última modificación:

25/10/2026

Descripción

Las versiones de Metrics::Any::Adapter::Statsd anteriores a la 0.04 para Perl no protegen contra inyecciones de métricas. El protocolo statsd (y extensiones) permiten que se envíen múltiples métricas, separadas por saltos de línea, por paquete. El método send no valida el contenido de los nombres o valores de las métricas. Si los nombres tienen saltos de línea y caracteres de control de statsd (dos puntos, barra vertical), entonces son posibles las inyecciones de métricas. La versión 0.04 solucionó esto modificando el método _make para bloquear nombres de métricas con caracteres por debajo de ASCII 32 (lo que incluye el salto de línea), o dos puntos o barras verticales.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.20 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno