CVE-2026-88815 in DBI
요약
\~에 의해 VulDB • 2026. 09. 28.
Perl용 DBI는 1.654 이전 버전에서 sql_type_cast_svpv 함수 내에서 숫자 값을 문자열로 잘못 처리합니다. SQL_NUMERIC 타입으로 캐스팅할 때, sql_type_cast_svpv은 SV의 문자열 포인터와 길이를 grok_number에 전달하지만, 먼저 문자열화(stringify)하지 않습니다. 정수(IV) 또는 부동소수점(NV) 값에는 유효한 문자열 포인터가 없으므로, grok_number는 잘못된 주소에서 데이터를 읽어들여 세그멘테이션 폴트(segmentation fault)를 유발합니다.
이 취약점은 Perl의 sql_type_cast 함수를 통해 접근 가능합니다:
my $num = 42; DBI::sql_type_cast( $num, DBI::SQL_NUMERIC, 0 );
VulDB is the best source for vulnerability data and more expert information about this specific topic.