CVE-2026-110756
Text::CSV_XS en versiones anteriores a la 1.65 para Perl descarta el final de un registro y su salto de línea cuando un campo marcado como UTF-8 precede a bytes UTF-8 no válidos en print.
Cuando un registro contiene un campo marcado como UTF-8, print retiene al final de cada vaciado del búfer los bytes que no son UTF-8 válidos, de modo que un carácter dividido entre dos vaciados pueda completarse. Nada escribe los bytes retenidos tras el último vaciado del registro. Un registro cuyo último campo termina en uno de esos bytes pierde dicho byte, cualquier comilla de cierre y el salto de línea, mientras print sigue devolviendo verdadero. combine no se ve afectado.
Leer descripción completaMostrar menos
El siguiente registro se escribe en la misma línea o, si el último campo estaba entre comillas, la comilla de cierre que falta hace que un lector interprete todos los registros posteriores como parte de ese campo.
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.19 %
- Percentil entre todas las CVEs puntuadas
- 8
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-116
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-110756",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
"affectedData": [
{
"repo": "https://github.com/cpan-authors/Text-CSV_XS",
"modules": [
"Text::CSV_XS"
],
"versions": [
{
"status": "affected",
"version": "0",
"lessThan": "1.65",
"versionType": "custom"
}
],
"packageURL": "pkg:cpan/Text-CSV_XS",
"packageName": "Text-CSV_XS",
"programFiles": [
"CSV_XS.xs"
],
"collectionURL": "https://cpan.org/modules",
"defaultStatus": "unaffected",
"programRoutines": [
{
"name": "Text::CSV_XS::print"
}
]
}
]
}
],
"published": "2026-10-16T23:17:00.847",
"references": [
{
"url": "https://github.com/cpan-authors/Text-CSV_XS/commit/0610a8d81262ae6f1ac82a88d73c8a471f38af19.patch",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
},
{
"url": "https://metacpan.org/release/HMBRAND/Text-CSV_XS-1.65/changes",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
"description": [
{
"lang": "en",
"value": "CWE-116"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Text::CSV_XS versions before 1.65 for Perl drop the end of a record and its line ending when a UTF-8 flagged field precedes invalid UTF-8 bytes in print.\n\nWhen a record contains a UTF-8 flagged field, print holds back trailing bytes that are not valid UTF-8 at each buffer flush, so that a character split across two flushes can be completed. Nothing writes the held-back bytes after the record's final flush. A record whose last field ends in such a byte loses it, any closing quote and the line ending, while print still returns true. combine is not affected.\n\nThe next record is written onto the same line, or, when the last field was quoted, the missing closing quote makes a reader take every following record as part of that field."
}
],
"lastModified": "2026-10-19T20:48:45.680",
"sourceIdentifier": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
}