Qué es y cómo funciona
La vulnerabilidad CVE-2026-129114 afecta al módulo JSON::XS para Perl. Se trata de un fallo de tipo heap buffer overflow (CWE-122, CWE-193). Cuando la función incr_parse procesa un fragmento de entrada de un byte de una manera específica, puede escribir un byte de terminación NUL fuera de los límites de la memoria asignada. Esto ocurre porque el búfer incremental no reserva espacio para ese byte NUL final.
Productos y versiones afectadas
La vulnerabilidad afecta a las versiones de JSON::XS desde la 3.04 hasta la 4.04 (excluyendo la 4.05, que está parcheada).
Impacto y explotación
Un atacante remoto que controle cómo se fragmentan los datos enviados a un consumidor incr_parse podría explotar esta escritura fuera de límites de un byte. Según datos de Shodan, actualmente hay 0 hosts detectados en internet con esta vulnerabilidad, lo que sugiere un volumen bajo de sistemas expuestos directamente. INCIBE-CERT (España) clasifica su severidad como P (Prioritaria).
Qué hacer
La mitigación principal es actualizar el módulo JSON::XS a la versión 4.05 o superior, donde el problema ha sido corregido.
| CVE | CVE-2026-129114 |
|---|---|
| Severidad | HIGH |
| CWE | CWE-122, CWE-193 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).