CVE-2026-110753
Publiée le 2026-10-16 · Dernière modification le 2026-10-20
Les versions 1.46 à 1.64 de Text::CSV_XS pour Perl sont concernées. Ce module est utilisé pour analyser efficacement les fichiers de valeurs séparées par des virgules (CSV). La faille survient lorsque l'analyseur rencontre une ligne vide alors que certains paramètres spécifiques sont utilisés, ce qui l'amène à libérer incorrectement une variable mémoire encore activement utilisée par l'application.
Un attaquant peut exploiter cela via un fichier CSV spécialement conçu pour déclencher une corruption de la mémoire, pouvant potentiellement mener à une prise de contrôle totale du système ou au plantage complet d'un processus. Comme cela ne nécessite ni authentification ni interaction de l'utilisateur, et peut être déclenché via un réseau, la barre à l'entrée pour une exploitation est basse. Cela expose la confidentialité, l'intégrité et la disponibilité du système affecté à un risque élevé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Text::CSV_XS versions from 1.46 before 1.65 for Perl have a use-after-free of bind_columns variables when skip_empty_rows skips an empty line in getline. With bind_columns, the parser writes each field into the caller's own scalar without taking a reference to it. When skip_empty_rows skips an empty last line, the parser frees the current field scalar without checking whether it is bound, dropping one reference from the application's variable. The "eof" mode does the same on any empty line. The variable is then freed while the application still references it, so later code uses freed memory and can crash the process.