CVE-2026-110753 in Text::CSV_XS
Zusammenfassung
von VulDB • 17.10.2026
In Text::CSV_XS versioni dalla 1.46 alla 1.65 per Perl è presente un use-after-free delle variabili bind_columns quando skip_empty_rows salta una riga vuota durante l'esecuzione di getline.
Con bind_columns, il parser scrive ogni campo nello scalar del chiamante senza prenderne riferimento (reference). Quando skip_empty_rows salta una riga vuota finale, il parser libera lo scalar del campo corrente senza verificare se è stato associato (bound), decrementando un reference dalla variabile dell'applicazione. La modalità "eof" fa la stessa cosa su qualsiasi riga vuota.
La variabile viene quindi liberata mentre l'applicazione vi fa ancora riferimento; di conseguenza, il codice successivo utilizza memoria già libera e può causare il crash del processo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.