CVE-2026-15043
Publiée le 2026-07-14 · Dernière modification le 2026-10-24
Les applications Perl utilisant le moteur SQL::Nano intégré de DBI pour des bases de données basées sur des fichiers (telles que les pilotes CSV ou DBM) sont affectées par une erreur de logique qui inverse les opérateurs « supérieur à » et « inférieur à » pour les champs textuels. Un attaquant peut exploiter cette faille pour contourner des filtres ou des contrôles d'autorisation en concevant des requêtes qui renvoient des lignes de données non prévues. Cela peut être déclenché à distance sans authentification ni interaction de l'utilisateur, ce qui rend l'exécution triviale si l'application expose ces requêtes à des entrées utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
DBI::SQL::Nano versions from 1.42 before 1.651 for Perl have inverted <= and >= SQL operators on text. DBI::SQL::Nano, DBI's built-in mini-SQL engine, evaluated WHERE predicates incorrectly in some cases. In the non-numeric string branch of the is_matched method, <= was evaluated using Perl's ge operator, and >= was evaluated using Perl's le operator. SQL::Nano is the fallback query engine for DBI's file-backed drivers (DBD::File, DBD::DBM, CSV-style drivers) whenever SQL::Statement is not installed, and is forced whenever DBI_SQL_NANO=1. Queries over such tables use these predicates directly. The impact depends on the context. Where an application relies on a WHERE clause to filter file-backed data for policy or authorization, an inverted <=/>= comparison silently returns the wrong rows.