CVE-2026-14380
Açıklama
Perl için 1.650 öncesi DBI sürümleri, çağırıcı tarafından etkilenen Profile üzerinden kod enjeksiyonuna karşı savunmasızdır. Bir dize bir DBI handle'ının Profile özniteliğine atandığında, DBI bunu yol, paket ve argümanlara ayırır ve paket kısmını, paket adı doğrulaması yapmaksızın bir string eval içerisinde yorumlar. Bu nedenle, Profile özniteliğine ulaşan çağırıcı tarafından etkilenen herhangi bir değer, sistem komutlarını çalıştırma çağrıları da dahil olmak üzere rastgele Perl kodu çalıştırılmasına yol açar. Profile özniteliği, güvenilmeyen veri taşıyabilen üç farklı kaynaktan ayarlanabilir: DBI_PROFILE ortam değişkeni, doğrudan öznitelik ataması ve dbi:Driver(Profile=>SPEC):db şeklindeki bir DSN sürücü-öznitelik yan cümleciği. Bu girdilerden herhangi birini kontrol eden bir saldırgan, ana bilgisayar işleminde rastgele Perl kodu çalıştırabilir. En kritik uzaktan erişim konumu, istek başına DSN'in Profile özniteliğine ulaştığı ağa açık bir DBI::Gofer / DBI::ProxyServer olup bu durum, bir istemcinin aracı ana bilgisayarda kod çalıştırmasına olanak tanır.
Nasıl düzeltilir
- perl dbi1.650 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| perl dbi | v < 1.650 | 1.650 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.