EGOR Data::SortedSet::Shared bis 0.02 sortedset.h rank/min/max children[] Information Disclosure

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.1$0-$5k1.16

Zusammenfassunginfo

Es wurde eine problematische Schwachstelle in EGOR Data::SortedSet::Shared bis 0.02 ausgemacht. Es betrifft die Funktion rank/min/max der Datei sortedset.h. Dank der Manipulation des Arguments children[] mit unbekannten Daten kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2026-59140 vorgenommen. Der Angriff muss lokal angegangen werden. Es gibt keinen verfügbaren Exploit.

Detailsinfo

Eine Schwachstelle wurde in EGOR Data::SortedSet::Shared bis 0.02 ausgemacht. Sie wurde als problematisch eingestuft. Betroffen davon ist die Funktion rank/min/max der Datei sortedset.h. Mittels dem Manipulieren des Arguments children[] mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-125. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Data::SortedSet::Shared versions before 0.03 for Perl allow an out-of-bounds read via unvalidated node indices in the rank and min/max query paths. The attach-time validator ss_validate_header bounds only the root index against the node pool (node_capacity). The order-statistics and min/max queries then follow children[], leftmost and rightmost node indices read raw from the mmap'd segment without bounding them against node_capacity. A full structural check (ss_validate_tree) exists but runs only via an explicit validate method, not on attach. A local peer that can write the backing file can leave the header valid while poisoning the tree links, so the next rank, min or max query dereferences an out-of-bounds node index, reading adjacent memory or crashing the process.

Das Advisory findet sich auf metacpan.org. Die Verwundbarkeit wird seit dem 02.07.2026 mit der eindeutigen Identifikation CVE-2026-59140 gehandelt. Die Ausnutzbarkeit ist als leicht bekannt. Umgesetzt werden muss der Angriff lokal. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht.

Ein Aktualisieren auf die Version 0.03 vermag dieses Problem zu lösen.

Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Typ

Hersteller

Name

Version

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 5.1

VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Information Disclosure
CWE: CWE-125 / CWE-119
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Teilweise
Lokal: Ja
Remote: Nein

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: keine Massnahme bekannt
Status: 🔍

0-Day Time: 🔒

Upgrade: Data::SortedSet::Shared 0.03

Timelineinfo

02.07.2026 CVE zugewiesen
21.07.2026 +19 Tage Advisory veröffentlicht
21.07.2026 +0 Tage VulDB Eintrag erstellt
21.07.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Advisory: metacpan.org
Status: Bestätigt

CVE: CVE-2026-59140 (🔒)
GCVE (CVE): GCVE-0-2026-59140
GCVE (VulDB): GCVE-100-381023

Eintraginfo

Erstellt: 21.07.2026 21:28
Aktualisierung: 21.07.2026 22:40
Anpassungen: 21.07.2026 21:28 (57), 21.07.2026 22:40 (2)
Komplett: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!