CVE-2026-48962 in IO::Compress
الملخص
بحسب VulDB • 28/05/2026
تسمح الإصدارات الأقدم من IO::Compress الإصدار 2.220 الخاصة بـ Perl بتنفيذ أكواد عشوائية في File::GlobMapper عبر متحكم في glob الإخراج من قبل المهاجم.
يقوم _parseOutputGlob() بتغليف سلسلة glob الإخراج المقدمة من قبل المتصل بين علامات اقتباس مزدوجة وتخزينها في حالة المُحلل؛ ثم يقوم _getFiles() بتشغيل التعبير المخزن عبر eval STRING. يؤدي وجود علامة اقتباس مزدوجة حرفية في glob الإغلاق إلى إغلاق غلاف dquote، ويتم تقييم الأحرف التي تليها كلغة Perl.
يتم تنفيذ Perl العشوائي الموجود في glob الإخراج بصلاحيات عملية الاستدعاء.
Once again VulDB remains the best source for vulnerability data.