CVE-2026-11373: Net::Statsite::Client para Perl: injeção de métricas via quebras de linha e caracteres de controle

Visão geral

A CVE-2026-11373 é uma fragilidade de injeção de métricas no Net::Statsite::Client, um cliente Perl para o protocolo statsite, que é uma variante do statsd. Segundo o registro, quebras de linha não são removidas dos nomes de métricas, e os valores não são sanitizados contra quebras de linha ou outros caracteres de controle do protocolo, como dois-pontos e barras verticais. O registro associa a falha ao CWE-93, neutralização imprópria de sequências CRLF.

Impacto

O registro relaciona a falha à injeção de métricas, o que significa que entradas construídas podem acrescentar ou alterar registros de métricas enviados a um backend compatível com o statsite.
O vetor CVSS 3.1 indica vetor de ataque pela rede, sem necessidade de privilégios, sem interação do usuário, escopo inalterado e alto impacto em confidencialidade e integridade, sem impacto em disponibilidade. O registro informa pontuação 9.1.
O registro não descreve consequências concretas para dados de monitoramento ou sistemas dependentes. Qualquer consequência desse tipo seria uma inferência.

Produtos e versões afetadas

Net::Statsite::Client para Perl, em versões até a 1.1.0, segundo a descrição.
O registro não traz uma lista estruturada de versões afetadas ou corrigidas.
Página da versão referenciada no registro: MetaCPAN release 1.1.0.

Status de exploração

O registro mostra que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Dados do EPSS estão ausentes no registro.

Correção e mitigação

Identifique se suas aplicações ou scripts usam o Net::Statsite::Client e qual versão está instalada.
O registro lista um arquivo de patch para a versão 1.1.0: patch em security.metacpan.org. O registro não descreve seu conteúdo nem o confirma como correção oficial, então valide-o com o mantenedor antes de depender dele.
Enquanto uma correção não for validada, trate qualquer nome ou valor de métrica derivado de entrada não confiável como hostil. Valide ou rejeite quebras de linha e caracteres de controle na fronteira da aplicação.
Limite quais componentes podem enviar métricas aos listeners do statsite e restrinja o acesso de rede a esses listeners.

Orientações de detecção

Revise o código de aplicações que montam nomes ou tags de métricas a partir de dados controlados pelo usuário.
Procure nomes de métricas ou séries que não sigam o padrão esperado e valores aparentemente divididos em linhas nos logs de ingestão.
Monitore o volume de métricas em busca de anomalias súbitas que possam indicar registros injetados.

Limitações das informações disponíveis

O registro não informa uma versão corrigida.
A faixa afetada é apresentada apenas como até a 1.1.0.
As referências incluem os IDs relacionados CVE-2026-46719, CVE-2026-46720 e CVE-2026-46739, mas o registro não explica sua relação com esta CVE.
Dados de EPSS e SSVC estão ausentes, e a entrada CVSS é a única informação de severidade disponível.

Perguntas frequentes

O que a CVE-2026-11373 afeta?

Segundo o registro, afeta o Net::Statsite::Client para Perl em versões até a 1.1.0. O registro não traz uma lista estruturada de versões afetadas ou corrigidas.

Há exploração conhecida desta CVE?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.