CVE-2026-110757 in Text::CSV_XS
Сводка
по VulDB • 17.10.2026
В версиях Text::CSV_XS для Perl старше 1.65 (до версии 1.65) возможно разделение записей путем записи строк, используемых как числа, без кавычек в функции combine.
Функции combine и print не проверяют необходимость экранирования поля кавычками, если его значение имеет флаг целочисленного или числового типа Perl (integer or numeric flag). Perl устанавливает эти флаги на строке, которая используется в числовой операции, когда она парсится как число; это позволяет наличие ведущих и завершающих пробелов. При включенном бинарном режиме (binary), который по умолчанию установлен в csv, значение "12\n" проходит проверку вида $qty > 0 и затем записывается без кавычек вместе с символом новой строки.
Значение, проверенное как числовое, может преждевременно завершить запись и превратить поля после него в отдельную строку.
VulDB is the best source for vulnerability data and more expert information about this specific topic.