CVE-2026-110759
Las versiones de Text::CSV_XS anteriores a la 1.65 para Perl devuelven un byte 0xFF que no está en la entrada para un último campo vacío seguido de un CR aislado en parse.
Cuando la entrada de parse termina en un separador y en un CR aislado, el analizador trata el final de la entrada como el siguiente carácter y guarda el marcador de fin de fichero en el campo como el byte 0xFF. Con binary activado, parse("a,\r") devuelve los campos "a" y "\xFF". En entradas marcadas como UTF-8, el último campo es una cadena marcada como UTF-8 que contiene ese byte aislado, lo cual es UTF-8 mal formado. La misma entrada con un último campo no vacío se rechaza como error.
Leer descripción completaMostrar menos
Un fichero CRLF leído línea a línea y con chomp termina de esta forma cuando su última columna está vacía, por lo que la aplicación recibe un byte que no figura en su entrada.
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.19 %
- Percentil entre todas las CVEs puntuadas
- 8
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-1286
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-110759",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
"affectedData": [
{
"repo": "https://github.com/cpan-authors/Text-CSV_XS",
"modules": [
"Text::CSV_XS"
],
"versions": [
{
"status": "affected",
"version": "0",
"lessThan": "1.65",
"versionType": "custom"
}
],
"packageURL": "pkg:cpan/Text-CSV_XS",
"packageName": "Text-CSV_XS",
"programFiles": [
"CSV_XS.xs"
],
"collectionURL": "https://cpan.org/modules",
"defaultStatus": "unaffected",
"programRoutines": [
{
"name": "Text::CSV_XS::parse"
}
]
}
]
}
],
"published": "2026-10-16T23:17:01.170",
"references": [
{
"url": "https://github.com/cpan-authors/Text-CSV_XS/commit/7627f1a2bb8ffe4e81d9847318a060822043f7f3.patch",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
},
{
"url": "https://metacpan.org/release/HMBRAND/Text-CSV_XS-1.65/changes",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
"description": [
{
"lang": "en",
"value": "CWE-1286"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Text::CSV_XS versions before 1.65 for Perl return a 0xFF byte that is not in the input for an empty last field followed by a lone CR in parse.\n\nWhen the input to parse ends in a separator and a lone CR, the parser treats the end of the input as the next character and stores the end-of-file marker in the field as the byte 0xFF. With binary set, parse(\"a,\\r\") returns the fields \"a\" and \"\\xFF\". On UTF-8 flagged input the last field is a UTF-8 flagged string holding that lone byte, which is malformed UTF-8. The same input with a non-empty last field is rejected as an error.\n\nA CRLF file read line by line and chomped ends this way when its last column is empty, so the application receives a byte that is not in its input."
}
],
"lastModified": "2026-10-19T20:48:45.680",
"sourceIdentifier": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
}