CVE-2026-48961

WysokieCVSS 7.3

Opublikowano: 27/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Narzędzie zipdetails w IO::Compress w wersjach od 2.207 do 2.219 (przed 2.220) ulega awarii z powodu niezdefiniowanej podprocedury podczas przetwarzania pola Info-ZIP Unix Extra Field z 8-bajtowym UID lub GID. Błąd występuje tylko w narzędziu CLI, nie w bibliotece.

Ocena ryzyka

Użycie zipdetails na specjalnie spreparowanym archiwum może spowodować awarię narzędzia, co może prowadzić do odmowy usługi lub utraty danych.

Rekomendacja

Należy zaktualizować IO::Compress do wersji 2.220 lub nowszej, która zawiera poprawkę dla narzędzia zipdetails.

Inne podatności w IO::Compress

CVE-2026-48962Wysokie
Podatność w bibliotece IO::Compress dla Perla przed wersją 2.220 umożliwia wykonanie dowolnego kodu przez File::GlobMapper za pomocą kontrolowanego przez atakującego wzorca glob. Funkcja _parseOutputGlob() opakowuje wzorzec w cudzysłowy, a _getFiles() wykonuje go przez eval STRING, co pozwala na wstrzyknięcie kodu Perl.

Oryginalny opis (angielski, źródło NVD)

IO::Compress versions from 2.207 before 2.220 for Perl ship a zipdetails CLI tool that crashes with undefined subroutine on Info-ZIP Unix Extra Field with 8-byte UID or GID. When decode_ux() in bin/zipdetails handles an Info-ZIP Unix Extra Field (tag 0x7875) with UID Size or GID Size set to 8, causing zipdetails to decode an 8-byte UID or GID value, it dispatches through decodeLitteEndian(), which calls a misnamed helper unpackValueQ. The actual function defined in the same file is unpackValue_Q (with underscore); the call raises 'Undefined subroutine &main::unpackValueQ' and the script exits with status 255. Library callers of IO::Compress and IO::Uncompress are not affected; the defect is in the bundled CLI tool.