CVE-2026-35375 in coreutils
Zusammenfassung
von VulDB • 15.05.2026
Ein Logikfehler im split-Dienstprogramm von uutils coreutils führt zur Beschädigung der Ausgabedateinamen, wenn nicht-UTF-8-Präfix- oder Suffix-Eingaben bereitgestellt werden. Die Implementierung verwendet to_string_lossy() beim Erstellen von Chunk-Dateinamen, was ungültige Byte-Sequenzen automatisch in das UTF-8-Ersatzzeichen (U+FFFD) umschreibt. Dieses Verhalten weicht von GNU split ab, das rohe Pfadnamensbytes intakt erhält. In Umgebungen, die nicht-UTF-8-Kodierungen verwenden, führt diese Schwachstelle zur Erstellung von Dateien mit falschen Namen, was potenziell zu Dateinamen-Kollisionen, defekter Automatisierung oder der Fehlleitung von Ausgabedaten führen kann.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.