CVE-2026-48962 in IO::Compress
요약
\~에 의해 VulDB • 2026. 05. 28.
Perl용 IO::Compress 2.220 미만 버전은 공격자가 제어하는 출력 glob을 통해 File::GlobMapper에서 임의 코드를 실행할 수 있습니다.
_parseOutputGlob() 함수는 호출자가 제공한 출력 glob 문자열을 큰따옴표로 감싸 파서 상태에 저장합니다. 이후 _getFiles() 함수는 저장된 표현식을 eval STRING를 통해 실행합니다. 출력 glob 내의 리터럴 큰따옴표는 큰따옴표 감싸기를 종료하며, 그 뒤에続く 문자들은 Perl 코드로 평가됩니다.
출력 glob에 포함된 임의 Perl 코드는 호출 프로세스의 권한 수준에서 실행됩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.