PT-2026-40106 · Cpan · Yaml::Syck

CVE-2026-5089 · Publicado 2026-05-12 · Atualizado 2026-06-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas YAML::Syck versões anteriores a 1.38

Descrição Uma leitura fora dos limites existe no código de parsing base60 (sexagesimal) em perl syck.h. Especificamente, os manipuladores int#base60 e float#base60 contêm um bug de underflow de buffer. Ao processar o segmento mais à esquerda de um valor separado por dois pontos, um loop while interno pode decrementar um ponteiro além do início do buffer de string. Se nenhum dois pontos for encontrado, o ponteiro torna-se ptr-1, e a desreferência subsequente lê um byte antes do buffer alocado.

Recomendações Atualize para a versão 1.38 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-124

Identificadores relacionados

CVE-2026-5089

OPENSUSE-SU-2026:10846-1

OPENSUSE-SU-2026:20938-1

Produtos afetados

Yaml::Syck

Referências · 25

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/5xxx/CVE-2026-5089.json · Exploit
• 🔥 https://github.com/cpan-authors/YAML-Syck/issues/132 · Exploit
• https://github.com/toddr/YAML-Syck · Nota
• https://github.com/cpan-authors/YAML-Syck/commit/208a4d3bd1b5cdb4a791a6e3905bd6bd45e9d005.patch · Correção
• https://github.com/cpan-authors/YAML-Syck/pull/133 · Nota
• https://osv.dev/vulnerability/CVE-2026-5089 · Aviso do Fabricante
• https://lists.security.metacpan.org/cve-announce/msg/39981051 · Nota
• https://cve.org/CVERecord?id=CVE-2026-5089 · Nota de Segurança
• https://osv.dev/vulnerability/openSUSE-SU-2026:10846-1 · Aviso do Fabricante
• https://docs.bell-sw.com/security/cves/CVE-2026-5089 · Nota
• https://osv.dev/vulnerability/BELL-CVE-2026-5089 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:20938-1 · Aviso do Fabricante
• https://cpan.org/modules · Nota
• https://twitter.com/oss_security/status/2055156069354070184 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-5089 · Aviso do Fabricante