CVE-2026-85644

Wersje XS::Parse::Infix od 0,40 do 0,49 dla Perla traktują liczbę jako odwołanie do tablicy.

Funkcja opakowująca XS::Parse::Infix generuje dla operatora infiksu skojarzonego z listą, sprawdza, czy argumenty są odniesieniami do tablicy, ale testuje przy użyciu SvRV() zamiast SvROK(). SvRV() odczytuje szczelinę unijną, która przechowuje referencję tylko wtedy, gdy SvROK(sv) ma wartość true, więc strażnik nigdy nie sprawdza, czy jest to referencja. W przypadku IV lub NV ten slot przechowuje sam numer, SvRV() zwraca wartość wywołującego, a SvTYPE() wyłudza ją przy przesunięciu 12. Zwykle skutkuje to błędem segmentacji.

Aplikacja, która przekazuje opakowaniu listę utworzoną na podstawie zdekodowanych danych wejściowych (na przykład z JSON), pozwala każdemu, kto poda liczbę z tej listy, wybrać adres, który interpreter będzie dereferował.

Bajt 12 zwykłego ciągu rzadko jest SVt_PVAV, więc strażnik rechocze na szczęście, ale spreparowany przez atakującego ciąg znaków przenoszący tam 0x0b przechodzi, a bufor jest następnie używany jako głowica AV, z AvARRAY pobieranym z bajtów 16-23 i jego wpisami umieszczanymi na stosie Perla jako aktywne SV.

Prosty dowód koncepcji wykorzystuje operator zip:

użyj Syntax::Operator::Zip 'zip';

mój @args = ([1], 2);
zip(@args);