CVE-2026-14380

Nome do Software Vulnerável e Versões Afetadas DBI versões anteriores a 1.650

Descrição A injeção de código é possível através de um atributo Profile influenciado pelo chamador. Quando uma string é atribuída a este atributo, o software a divide em caminho, pacote e argumentos, e então interpola a parte do pacote em um eval de string sem validar o nome do pacote. Isso permite a execução de código Perl arbitrário, incluindo chamadas de comandos do sistema, caso um invasor controle o atributo Profile. Este atributo pode ser influenciado por meio da variável de ambiente DBI PROFILE, atribuição direta de atributo ou uma cláusula de atributo de driver DSN dbi:Driver(Profile=>SPEC):db. Instâncias de DBI::Gofer ou DBI::ProxyServer expostas à rede são particularmente suscetíveis se o DSN por requisição atingir o atributo Profile, permitindo a execução remota de código no host do broker.

Recomendações Atualize para a versão 1.650 ou posterior.