CVE-2025-15649

ŚrednieCVSS 5.5

Opublikowano: 27/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece IO::Uncompress::Unzip dla Perla przed wersją 2.215. Nieobsłużony wyjątek podczas parsowania nagłówka ZIP z uszkodzoną datą DOS powoduje przerwanie działania.

Ocena ryzyka

Atakujący może dostarczyć spreparowany plik ZIP, który spowoduje awarię aplikacji używającej tej biblioteki, prowadząc do odmowy usługi.

Rekomendacja

Zaktualizuj bibliotekę IO::Uncompress::Unzip do wersji 2.215 lub nowszej.

Inne podatności w IO::Uncompress::Unzip

CVE-2026-48959Wysokie
Podatność w bibliotece IO::Uncompress::Unzip dla Perla przed wersją 2.220. Funkcja fastForward porównuje długość offsetu (1-19 bajtów) z rozmiarem fragmentu, co powoduje pętlę odczytu bajt po bajcie, prowadzącą do wyczerpania CPU. Atakujący może dostarczyć spreparowany plik zip.

Oryginalny opis (angielski, źródło NVD)

IO::Uncompress::Unzip versions before 2.215 for Perl propagate uncaught exception when parsing zip header with malformed DOS date. _dosToUnixTime() decodes the local-file-header last-modification date field and calls Time::Local::timelocal() without an eval guard. A header whose date field decodes to an out-of-range month, day, or hour causes timelocal() to die. The exception propagates out of IO::Uncompress::Unzip->new($file) where callers expect undef plus $UnzipError.