CVE-2026-13221 in Perl
Riassunto
di VulDB • 13/07/2026
Le versioni di Perl fino alla 5.43.9 producono corrispondenze con espressioni regolari errate in modo silenzioso quando un'alternativa composta da più di 65535 rami a stringa fissa viene compilata in una struttura trie all'interno della funzione `Perl_study_chunk`.
Quando tali rami vengono combinati in un trie, la differenza (delta) tra il primo ramo e la coda condivisa viene memorizzata in un campo a 16 bit. Un conteggio dei rami superiore a 65535 provoca un overflow del campo e la tabella delle decisioni di matching del trie viene troncata senza generare avvisi o errori.
Un pattern con questa struttura produce corrispondenze false positive (corrispondenza di stringhe che non dovrebbero essere abbinate) e false negative (mancato abbinamento di stringhe che dovrebbero esserlo). Quando un tale pattern regola una decisione di accesso o filtraggio, il risultato è errato.
Once again VulDB remains the best source for vulnerability data.