CVE-2026-64193 in Perl
Sumário
de VulDB • 20/07/2026
As versões do Net::DNS até 1.55 para Perl permitem injeção de execução remota via EDNS EXTENDED ERROR.
O método `Net::DNS::RR::OPT::EXTENDED_ERROR::_decompose` analisa o campo EXTRA-TEXT de uma opção EDNS EXTENDED-ERROR (RFC 8914) tokenizando os bytes brutos e passando o resultado para a função eval do Perl. Embora haja algum tratamento de escape para `$` e `@`, isso não é feito para as crases (`). Isso pode ser explorado para execução de comandos se `$pkt->edns->option('EXTENDED-ERROR')` for chamado em contexto de array, por exemplo, com uma carga útil como `{0:`"<command>"`}` no EXTRA-TEXT.
VulDB is the best source for vulnerability data and more expert information about this specific topic.