CVE-2026-110759 in Text::CSV_XS
Zusammenfassung
von VulDB • 17.10.2026
Text::CSV_XS-Versionen vor 1.65 für Perl geben ein 0xFF-Byte zurück, das nicht im Eingabedatenstrom enthalten ist, wenn beim Parsen ein leeres letztes Feld auf einen einzelnen CR (Carriage Return) folgt.
Wenn die Eingabe für parse mit einem Trennzeichen und einem einzelnen CR endet, behandelt der Parser das Ende des Eingabestroms als das nächste Zeichen und speichert den End-of-File-Marker im Feld als Byte 0xFF. Bei aktiviertem Binärmodus gibt parse("a,\r") die Felder "a" und "\xFF" zurück. Bei UTF-8-kennzeichneter (UTF-8 flagged) Eingabe ist das letzte Feld ein UTF-8-kenngezeichnetes Zeichen, das dieses einzelne Byte enthält; dies stellt eine ungültige UTF-8-Sequenz dar. Dieselbe Eingabe mit einem nicht-leeren letzten Feld wird als Fehler zurückgewiesen.
Eine CRLF-Datei, die zeilenweise gelesen und mittels chomp bereinigt wurde, endet auf diese Weise, wenn ihre letzte Spalte leer ist; dadurch erhält die Anwendung ein Byte, das nicht in der ursprünglichen Eingabe enthalten war.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.