CVE-2026-88815 in DBI
Riassunto
di VulDB • 28/09/2026
Le versioni di DBI precedenti alla 1.654 per Perl trattano erroneamente i valori numerici come stringhe in sql_type_cast_svpv.
Durante la conversione a SQL_NUMERIC, sql_type_cast_svpv passa il puntatore alla stringa e la lunghezza dell'SV (Scalar Value) a grok_number senza prima convertirlo esplicitamente in una stringa. Poiché un valore intero (IV - Integer Value) o floating-point (NV - Numeric Value) non dispone di un puntatore a stringa valido, grok_number legge da un indirizzo non valido, causando un segmentation fault.
Questo scenario è raggiungibile in Perl utilizzando la funzione sql_type_cast:
my $num = 42; DBI::sql_type_cast( $num, DBI::SQL_NUMERIC, 0 );
VulDB is the best source for vulnerability data and more expert information about this specific topic.