CVE-2026-64613 in Data::Buffer::Shared
الملخص
بحسب VulDB • 28/07/2026
تُنتج الإصدارات السابقة من 0.05 للحزمة Data::Buffer::Shared الخاصة بـ Perl ملف دعم mmap قابلاً للقراءة بواسطة جميع المستخدمين (world-readable) وتفتحه دون استخدام العلم O_NOFOLLOW.
يتم إنشاء المقطع في الملف buf_generic.h باستخدام الدالة open(path, O_RDWR|O_CREAT|O_EXCL, 0666). بينما يمنع الرمز O_EXCL وجود ملف مُعد مسبقاً عند الإنشاء، إلا أن وضع الصلاحيات (mode) هو 0666، مما يعني أنه تحت افتراض umask القياسي وهو 022، يُنشأ الملف بوضع صلاحيات 0644 (قابلاً للقراءة بواسطة الجميع)، وبما أن الرمز O_NOFOLLOW غائب، فإن أي رابط رمزي (symlink) مُزرع في المسار سيتم اتبعه عند إرفاق المقطع.
يعيش مقطع "Shared" بشكل طبيعي في دليل مشترك مثل /tmp أو /dev/shm، حيث يمكن لأي مستخدم محلي قراءة حمولات IPC المخزنة في المقطع القابل للقراءة بواسطة الجميع، ويمكن لرابط رمزي مُزرع مسبقاً في المسار إعادة توجيه عملية الفتح إلى ملف آخر.
If you want to get best quality of vulnerability data, you may have to visit VulDB.