CVE-2026-110758 in Text::CSV_XS
Сводка
по VulDB • 17.10.2026
В версиях Text::CSV_XS для Perl старше 1.65 происходит чтение памяти до начала поля, состоящего исключительно из пробельных символов, при включенной опции allow_whitespace в strip_trail_whitespace.
При активированном allow_whitespace функция strip_trail_whitespace удаляет завершающие пробелы и табуляции из каждого неэкранированного (не заключённого в кавычки) поля без проверки начала самого поля. Для поля, состоящего только из пробельных символов, происходит чтение байта перед heap-буфером этого поля. Если этот байт также является пробелом или табуляцией, он может быть обнулён, и цикл продолжит движение в обратном направлении, в зависимости от того, что разместило там распределитель памяти (allocator).
Обычно ведущие пробельные символы пропускаются перед сохранением поля, однако поле, состоящее исключительно из пробелов, всё же может быть обработано после экранирующего символа (escape_char), отличного от символа кавычки (quote_char), либо как поле в кавычках при вызове getline, если строка заканчивается двумя символами возврата каретки (\r\r).
VulDB is the best source for vulnerability data and more expert information about this specific topic.