CVE-2026-60082
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece DBI dla Perla przed wersją 1.651 nie wymusza spójności uchwytu instrukcji z wierszem. Gdy uchwyt instrukcji nie miał pól, ale źródłowy wiersz nie był pusty, wewnętrzny pomocnik bufora wierszy odczytywał dane z ujemnego indeksu tablicy.
Ocena ryzyka
Atakujący może dostarczyć niespójne metadane i wiersze do metody prepare, co prowadzi do odczytu poza zakresem pamięci. Może to spowodować ujawnienie wrażliwych danych lub awarię aplikacji.
Rekomendacja
Należy zaktualizować bibliotekę DBI do wersji 1.651 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy unikać używania metody prepare z niespójnymi danymi.
Oryginalny opis (angielski, źródło NVD)
DBI versions before 1.651 for Perl do not enforce statement handle consistency with the row. When the statement handle had no fields but the source row was non-empty, the internal row-buffer helper would read from a negative array index. This could be triggered by a caller supplying inconsistent metadata and rows to the prepare method.