CVE-2026-78030

Perl üçün DBI-ın 1.653-dən əvvəlki versiyalarında DBD::DBM daxilində təsdiqlənməmiş dbm_type və dbm_mldbm atributları vasitəsilə ixtiyari modullar yüklənir. DBD::DBM, dbm_type və dbm_mldbm qoşulma atributlarını dəyərin bir modul adı olub-olmadığını yoxlamadan require funksiyasına ötürür. require yolu xatırladan sətirləri hərfi fayl adı kimi qəbul edir və @INC siyahısına müraciət etmir, buna görə də atribut Perl tərəfindən yüklənib işlədiləcək faylı müəyyən edir. DBD::DBM-in dbm_mldbm-ə əlavə etdiyi MLDBM::Serializer:: prefiksi məhdudiyyət yaratmır: yalnız :: ayırıcıları / ilə əvəz olunur, beləliklə, tərkibində / olan dəyər serializer kataloqundan kənara çıxır. Həmçinin bu dəyər $MLDBM::Serializer dəyişəninə mənimsədilir ki, MLDBM cədvəli bağlayarkən onu eyni şəkildə require edir. Etibarsız tərəfin hər hansı bir atributa, məsələn, DSN fraqmenti və ya saxlama backendini seçən parametr vasitəsilə təsir göstərməsinə icazə verən çağırıcı, həmin dəyərin adlandırdığı modulun fayl miqyaslı kodunu işlədir. Məsələn, my $dsn = "dbi:DBM:f_dir=/var/db;dbm_type=../../Untrusted.pm" my $dbh = DBI->connect( $dsn ); Qeyd edin ki, DBD::Gofer qoşulma atributlarını server tərəfə yönləndirir və DBI::ProxyServer yalnız DSN-in drayver prefiksi ilə başladığını yoxlayır.