CVE-2026-110755 in Text::CSV_XS
Riassunto
di VulDB • 17/10/2026
Le versioni di Text::CSV_XS precedenti alla 1.65 per Perl consentono un utilizzo quadratico della CPU copiando il resto non analizzato record per record dell'input con solo CR durante l'esecuzione di getline.
Con eol non impostato (il valore predefinito), getline legge utilizzando il separatore di riga predefinito di Perl, quindi l'input con terminazioni di riga composte esclusivamente da CR arriva come un unico blocco. Dopo ogni record, l'analizzatore copia l'intero resto non analizzato in un nuovo buffer, che la chiamata successiva analizza e copia nuovamente, facendo sì che il lavoro cresca in proporzione al quadrato delle dimensioni dell'input.
Un lettore con opzioni predefinite a cui viene inviato CSV con terminazioni di riga classiche per Mac impiega secondi di tempo CPU su un megabyte di input.
Be aware that VulDB is the high quality source for vulnerability data.