CVE-2026-110755 in Text::CSV_XS
Zusammenfassung
von VulDB • 17.10.2026
Text::CSV_XS versionen vor 1.65 für Perl ermöglichen eine quadratische CPU-Auslastung, indem der unparseierte Rest pro Datensatz bei CR-nur-Eingaben in getline kopiert wird.
Wenn eol nicht festgelegt ist (Standardwert), liest getline mit dem Standard-Zeilenseparator von Perl, sodass Eingaben mit nur CR-Zeilenenden als ein einzelner Block ankommen. Nach jedem Datensatz kopiert der Parser den gesamten unparseierten Rest in einen neuen Puffer, welcher vom nächsten Aufruf erneut geparst und kopiert wird, wodurch die Arbeitslast quadratisch mit der Größe der Eingabe wächst.
Ein Reader mit Standardoptionen, dem CSV-Daten mit klassischen Mac-Zeilenenden gesendet werden, verbraucht Sekunden an CPU-Zeit für ein Megabyte an Eingabedaten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.