CVE-2026-78497
Las versiones de JQ::Lite anteriores a la 2.51 para Perl ejecutan código Perl incrustado en la expresión regular de una consulta, compilándolo mediante eval de cadena.
El patrón indicado en test(), match() o en las condiciones match y =~ de select() se coloca en un literal `qr'...'` y se compila como texto fuente, de modo que un bloque de código `(?{ ... })` incluido en él se ejecuta sin necesidad de `use re 'eval'`. Las comillas simples del patrón se escapan, pero un bloque de código se ejecuta en el lugar y no necesita ningún escape.
Un atacante que proporcione una consulta, o un texto que una aplicación inserte en el patrón de una consulta, puede ejecutar código Perl arbitrario en el proceso que realiza la llamada.
Traducción automática del texto original de NVD (en inglés).
CVSS
NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.17 %
- Percentil entre todas las CVEs puntuadas
- 6
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-95
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-78497",
"cveTags": [],
"metrics": {},
"affected": [
{
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
"affectedData": [
{
"repo": "https://github.com/kawamurashingo/JQ-Lite",
"modules": [
"JQ::Lite"
],
"versions": [
{
"status": "affected",
"version": "0",
"lessThan": "2.51",
"versionType": "custom"
}
],
"packageURL": "pkg:cpan/JQ-Lite",
"packageName": "JQ-Lite",
"programFiles": [
"lib/JQ/Lite/Util/Transform.pm"
],
"collectionURL": "https://cpan.org/modules",
"defaultStatus": "unaffected",
"programRoutines": [
{
"name": "JQ::Lite::Util::_build_regex"
}
]
}
]
}
],
"published": "2026-10-18T12:17:15.350",
"references": [
{
"url": "https://github.com/kawamurashingo/JQ-Lite/commit/c461721ae3d5a90d6d94dbb234c1b8dfee5c1769.patch",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
},
{
"url": "https://metacpan.org/release/SHINGO/JQ-Lite-2.51/changes",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
},
{
"url": "http://www.openwall.com/lists/oss-security/2026/10/18/3",
"source": "af854a3a-2127-422b-91ae-364da2661108"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "9b29abf9-4ab0-4765-b253-1875cd9b441e",
"description": [
{
"lang": "en",
"value": "CWE-95"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "JQ::Lite versions before 2.51 for Perl execute Perl code embedded in a query's regular expression by compiling it with string eval.\n\nThe pattern given to test(), match(), or the match and =~ conditions of select() is placed in a `qr'...'` literal and compiled as source text, so a `(?{ ... })` code block in it runs without `use re 'eval'`. Single quotes in the pattern are escaped, but a code block runs in place and needs none.\n\nAn attacker who supplies a query, or text that an application inserts into the pattern of one, can execute arbitrary Perl code in the calling process."
}
],
"lastModified": "2026-10-19T20:50:17.967",
"sourceIdentifier": "9b29abf9-4ab0-4765-b253-1875cd9b441e"
}