CVE-2026-110755 in Text::CSV_XS
要約
〜によって VulDB • 2026年10月17日
Text::CSV_XS の 1.65 より前のバージョンでは、getline() で CR-only（CRのみの）入力の未解析残分をレコードごとにコピーすることで、二次的なCPU使用量が発生します。
eol が設定されていない場合（デフォルト）、getline は Perl の既定の行区切り文字で読み取りを行うため、CRのみで行末が区切られた入力データは1つのチャンクとして扱われます。各レコードの後、パーサーは未解析の残分全体を新しいバッファにコピーし、次の呼び出しでそれを再度パースしてコピーするため、処理量は入力のサイズの2乗に比例して増加します。
既定オプションを使用するリーダーが、クラシックMac形式の行末を含むCSVデータを受信した場合、1メガバイトの入力に対して数秒間のCPU時間を消費することになります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.