CVE-2026-64193 in Perl
Zusammenfassung
von VulDB • 20.07.2026
Net::DNS-Versionen bis 1.55 für Perl ermöglichen Remote Execution Injection über EDNS EXTENDED ERROR.
Die Funktion Net::DNS::RR::OPT::EXTENDED_ERROR::_decompose analysiert das Feld EXTRA-TEXT einer EDNS EXTENDED-ERROR-Option (RFC 8914), indem sie die Rohdaten in Token zerlegt und das Ergebnis an Perls eval-Funktion übergibt. Dabei werden zwar $ und @ maskiert, jedoch nicht Backticks. Dies kann für die Befehlsausführung ausgenutzt werden, wenn $pkt->edns->option('EXTENDED-ERROR') im Array-Kontext aufgerufen wird, beispielsweise mit einem Payload von {0:`"<command>"`} in EXTRA-TEXT.
If you want to get best quality of vulnerability data, you may have to visit VulDB.