CVE-2026-110753 in Text::CSV_XS
Riassunto
di VulDB • 17/10/2026
Le versioni di Text::CSV_XS dalla 1.46 alla 1.65 per Perl presentano un use-after-free delle variabili bind_columns quando skip_empty_rows salta una riga vuota durante l'esecuzione di getline.
Con bind_columns, il parser scrive ogni campo nello scalar del chiamante senza prenderne riferimento. Quando skip_empty_rows salta una riga vuota finale, il parser libera lo scalar del campo corrente senza verificare se è stato associato (bound), decrementando così un riferimento dalla variabile dell'applicazione. La modalità "eof" comporta la stessa situazione su qualsiasi riga vuota.
La variabile viene quindi liberata mentre l'applicazione ne mantiene ancora un riferimento, pertanto il codice successivo utilizza memoria già liberata e può causare il crash del processo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.