CVE-2026-13048

Perl üçün Data::MuForm::Localizer versiya 0.05 və daha aşağı versiyalarda, load_lexicon funksiyasının dil atributunu kataloq fayl adına daxil etməsi səbəbindən istənilən yolda yerləşən mesaj kataloqu başlığından Perl kodu icra edilir. load_lexicon funksiyası kataloq yolunu Localizer.pm faylının olduğu kataloga `Messages/$lang.po` hissəsini əlavə etməklə qurur; burada $lang dil atributudur və onun sadə lokallaşdırma teqi olub-olmadığı yoxlanılmır. `../` seqmentləri ehtiva edən dəyər mesaj kataloqundan kənara çıxmağa imkan verir, beləliklə, `.po` sonluğu olan hər hansı oxunaqlı yol yüklənir. Kataloqu təhlil edərkən extract_header_msgstr funksiyası `Plural-Forms:` başlığını götürür, nplurals, plural və n sözlərinin qarşısına `$` işarəsini əlavə edir və qalan hissəni olduğu kimi qiymətləndiriləcək bir sətirə ötürür: nplurals forması başlıq ifadəsini dərhal qiymətləndirir, plural_code forması isə onu cəm mesajı lokallaşdırıldıqda işə düşən altprosedura şəklində kompilyasiya edir. Buna görə də, `nplurals=2; plural=(system('...'),0);` başlıqlı fayl kataloq yüklənərkən həmin əmrin icrasına səbəb olur. Qiymətləndirmə prosesi strict rejimini miras aldığı üçün elan edilməmiş dəyişənə mənimsətmə aparan ifadələr kompilyasiyadan keçmir, lakin yalnız çağırışlardan ibarət olanlar keçir. Dil atributunu sorğu məlumatlarından, Accept-Language başlığından və ya lokallaşdırma parametrindən təyin edən tətbiq və oxunaqlı yola seçilmiş məzmunlu `.po` sonluqlu faylı yerləşdirə bilən hücumçu birlikdə tətbiq istifadəçisi səviyyəsində kodun icrasını təmin edir. Mesaj genişləndirmə yolu buna təsir etmir: expand_named yalnız çağıran tərəfin təqdim etdiyi yer tutucu adlarını əvəzləyir, _mangle_value isə dəyəri dəyişdirilmədən qaytarır.