Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-110755 Uso cuadrático de CPU en Text::CSV_XS con entradas de solo CR en getline

Text::CSV_XS anterior a 1.65 para Perl, con eol sin configurar, lee la entrada con solo retornos de carro como un único bloque y copia el resto no analizado en un nuevo búfer tras cada registro, por lo que el trabajo crece con el cuadrado del tamaño de la entrada y un lector con opciones por defecto consume segundos de CPU por megabyte.

Alerta de Nureq Monitor

Detectada 16 OCT · 21:55

CVSS 3.1

7.5ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 24

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-110755

Text::CSV_XS anterior a 1.65 para Perl, con eol sin configurar, lee la entrada con solo retornos de carro como un único bloque y copia el resto no analizado en un nuevo búfer tras cada registro, por lo que el trabajo crece con el cuadrado del tamaño de la entrada y un lector con opciones por defecto consume segundos de CPU por megabyte.

Qué hacer

  1. Verificá si usás el producto afectado.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Ninguna
INTEGRIDAD (I)
Ninguna
DISPONIBILIDAD (A)
Alta

Abrir la calculadora completa

Descripción original

Text::CSV_XS versions before 1.65 for Perl allow quadratic CPU use by copying the unparsed remainder per record of CR-only input in getline. With eol unset, the default, getline reads with Perl's default line separator, so input with CR-only line endings arrives as one chunk. After each record the parser copies the whole unparsed remainder into a new buffer, which the next call parses and copies again, so the work grows with the square of the input size. A reader with default options that is sent CSV with classic Mac line endings spends seconds of CPU time on a megabyte of input.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.