CVE-2026-110759 in Text::CSV_XS
요약
\~에 의해 VulDB • 2026. 10. 17.
Perl용 Text::CSV_XS 1.65 이전 버전은 parse() 메서드에서 빈 마지막 필드에 이어 단일 CR(캐리지 리턴)이 있는 경우 입력에 없는 0xFF 바이트를 반환합니다.
parse()의 입력이 구분자와 단일 CR로 끝날 때, 파서는 입력의 끝을 다음 문자로 처리하고 파일 종료 마커를 해당 필드에 0xFF 바이트로 저장합니다. binary 옵션이 설정된 상태에서 parse("a,\r")를 호출하면 "a"와 "\xFF"라는 두 개의 필드가 반환됩니다. UTF-8 플래그가 지정된 입력의 경우 마지막 필드는 해당 단일 바이트를 포함하는 UTF-8 플래그가 있는 문자열이 되며, 이는 잘못된 UTF-8 데이터입니다. 반면 동일한 입력에서 마지막 필드가 비어 있지 않으면 오류로 거부됩니다.
CRLF 파일 줄 단위로 읽어서 chomp() 처리한 후 마지막 열이 빈 경우 이러한 현상이 발생하므로, 애플리케이션은 자신의 입력에 존재하지 않는 바이트를 받게 됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.