CVE-2026-78030

Nome do Software Vulnerável e Versões Afetadas DBI versões anteriores a 1.653

Description Um problema no DBD::DBM permite o carregamento de módulos arbitrários porque os atributos de conexão dbm type e dbm mldbm são passados para a função require sem validação. Como a função require trata strings com formato de caminho como nomes de arquivos literais e ignora o array @INC, um invasor pode especificar um caminho de arquivo para carregar e executar código arbitrário de escopo de arquivo. O prefixo MLDBM::Serializer:: adicionado ao dbm mldbm não funciona como uma barreira, pois valores contendo / podem sair do diretório do serializador. Isso pode ser explorado se uma parte não confiável puder influenciar esses atributos por meio de um fragmento de DSN ou um parâmetro de seleção de backend de armazenamento. Além disso, o DBD::Gofer encaminha esses atributos para o lado do servidor, e o DBI::ProxyServer apenas verifica se um DSN começa com um prefixo de driver, podendo propagar o problema.

Recommendations Atualize o DBI para a versão 1.653 ou posterior.