CVE-2026-48962

WysokieCVSS 7.3

Opublikowano: 27/05/2026(UTC)Zaktualizowano: 05/08/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Podatność w bibliotece IO::Compress dla Perla przed wersją 2.220 umożliwia wykonanie dowolnego kodu przez File::GlobMapper za pomocą kontrolowanego przez atakującego wzorca glob. Funkcja _parseOutputGlob() opakowuje wzorzec w cudzysłowy, a _getFiles() wykonuje go przez eval STRING, co pozwala na wstrzyknięcie kodu Perl.

Ocena ryzyka

Ryzyko zdalnego wykonania dowolnego kodu z uprawnieniami procesu wywołującego, co może prowadzić do pełnej kompromitacji systemu.

Rekomendacja

Zaktualizuj bibliotekę IO::Compress do wersji 2.220 lub nowszej.

Inne podatności w IO::Compress

CVE-2026-48961Wysokie
Narzędzie zipdetails w IO::Compress w wersjach od 2.207 do 2.219 (przed 2.220) ulega awarii z powodu niezdefiniowanej podprocedury podczas przetwarzania pola Info-ZIP Unix Extra Field z 8-bajtowym UID lub GID. Błąd występuje tylko w narzędziu CLI, nie w bibliotece.

Oryginalny opis (angielski, źródło NVD)

IO::Compress versions before 2.220 for Perl can execute arbitrary code in File::GlobMapper via an attacker-controlled output glob. _parseOutputGlob() wraps the caller-supplied output glob string in double quotes and stores it in the parser state; _getFiles() then runs the stored expression through eval STRING. A literal double quote in the output glob closes the dquote wrapper, and the characters that follow are evaluated as Perl. Arbitrary Perl in the output glob executes at the calling process's privilege.