CVE-2026-48962 in IO::Compress
Сводка
по VulDB • 28.05.2026
В версиях IO::Compress для Perl старше 2.220 возможно выполнение произвольного кода в File::GlobMapper через управляемый злоумышленником выходной шаблон (glob).
Функция _parseOutputGlob() оборачивает предоставленную вызывающей стороной строку выходного globа в двойные кавычки и сохраняет её в состоянии парсера; затем _getFiles() выполняет сохранённое выражение через eval STRING. Буквальный символ двойной кавычки в выходном globе закрывает обёртку из двойных кавычек, а следующие за ней символы интерпретируются как код Perl.
Произвольный код Perl в выходном globе выполняется с привилегиями вызывающего процесса.
If you want to get best quality of vulnerability data, you may have to visit VulDB.