CVE-2026-110756 Pérdida de fin de registro en Text::CSV_XS con campos UTF-8 seguidos de bytes inválidos en print

Qué es CVE-2026-110756

Text::CSV_XS anterior a 1.65 para Perl retiene bytes no válidos como UTF-8 al vaciar el búfer y no los escribe tras el último vaciado del registro, por lo que un registro cuyo último campo termina en ese byte pierde el byte, la comilla de cierre y el fin de línea, aunque print devuelva verdadero. El siguiente registro se escribe en la misma línea o, si el campo estaba entrecomillado, el lector toma todos los registros siguientes como parte de ese campo.

Qué hacer

1. Verificá si usás el producto afectado.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Text::CSV_XS versions before 1.65 for Perl drop the end of a record and its line ending when a UTF-8 flagged field precedes invalid UTF-8 bytes in print. When a record contains a UTF-8 flagged field, print holds back trailing bytes that are not valid UTF-8 at each buffer flush, so that a character split across two flushes can be completed. Nothing writes the held-back bytes after the record's final flush. A record whose last field ends in such a byte loses it, any closing quote and the line ending, while print still returns true. combine is not affected. The next record is written onto the same line, or, when the last field was quoted, the missing closing quote makes a reader take every following record as part of that field.

Referencias

• github.com/cpan-authors/Text-CSV_XS/commit/0610a8d81262ae6f1ac82a88d73c8a471f38af19.patchPATCH
• metacpan.org/release/HMBRAND/Text-CSV_XS-1.65/changesRELEASE-NOTES

Historial de la alerta

1. 16 OCT · 21:55VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.