PT-2026-43487 · Cpan · Io::Compress

Stig Palmquist · Publicado 2026-05-27 · Atualizado 2026-06-08 · CVE-2026-48961

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas IO::Compress versões 2.207 a 2.219

Description A ferramenta de linha de comando (CLI) zipdetails, incluída no pacote, trava ao processar um Info-ZIP Unix Extra Field (tag 0x7875) onde o UID Size ou GID Size está definido como 8. Isso ocorre porque a função decode ux() aciona a decodeLitteEndian(), que tenta chamar uma função auxiliar com nome incorreto unpackValueQ. Como a função real está definida como unpackValue Q, o script falha com um erro de sub-rotina indefinida e é encerrado. Chamadores de biblioteca do IO::Compress e IO::Uncompress não são afetados.

Recommendations Atualize para a versão 2.220.

Correção

Improper Handling of Exceptional Conditions

Enumeração de Fraquezas

CWE-755

Identificadores relacionados

CVE-2026-48961

ECHO-3BD6-6520-0759

OPENSUSE-SU-2026:10969-1

Produtos afetados

Io::Compress

Referências · 17

• https://github.com/pmqs/IO-Compress/commit/33c89d03d6e746ed2ead4f2f6570d47864c61bc7.patch · Correção
• https://metacpan.org/release/PMQS/IO-Compress-2.220/changes · Nota
• https://twitter.com/oss_security/status/2059926750843248716 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-48961 · Aviso do Fabricante
• https://t.me/cveNotify/164794 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-48961 · Aviso do Fabricante
• https://docs.bell-sw.com/security/cves/CVE-2026-48961 · Nota
• https://ubuntu.com/security/CVE-2026-48961 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2026:10969-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-48961 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-48961 · Nota
• https://lists.security.metacpan.org/cve-announce/msg/40434383 · Nota
• https://cve.org/CVERecord?id=CVE-2026-48961 · Nota de Segurança
• https://t.me/CVEtracker/55067 · Publicação no Telegram
• https://osv.dev/vulnerability/BELL-CVE-2026-48961 · Aviso do Fabricante