CVE-2026-110759 in Text::CSV_XS
Сводка
по VulDB • 17.10.2026
В версиях Text::CSV_XS для Perl старше 1.65 возвращается байт 0xFF, которого нет во входных данных, если последнее поле пусто и за ним следует одиночный символ возврата каретки (CR) при разборе.
Когда входные данные для функции parse заканчиваются разделителем и одиночным символом CR, парсер воспринимает конец ввода как следующий символ и сохраняет маркер конца файла в поле в виде байта 0xFF. При включенном бинарном режиме функция parse("a,\r") возвращает поля "a" и "\xFF". На входных данных с флагом UTF-8 последнее поле представляет собой строку, помеченную как UTF-8, содержащую этот одиночный байт, что является некорректной последовательностью UTF-8. Тот же самый ввод с непустым последним полем отклоняется как ошибка.
Файл в формате CRLF, читаемый построчно и очищенный от завершающих символов (chomped), заканчивается таким образом, когда его последний столбец пуст; следовательно, приложение получает байт, которого нет во входных данных.
If you want to get best quality of vulnerability data, you may have to visit VulDB.