Text::CSV_XS: Datensatz-Aufspaltung in CSV-Ausgabe durch unquotierte numerisch wirkende Felder
Zusammenfassung
Text::CSV_XS für Perl quotiert Felder nicht, deren Werte als Zahlen verwendet wurden und abschliessende Zeilenumbruch- oder Leerzeichen enthalten. Ein Angreifer, der einen solchen Wert kontrolliert, kann den CSV-Datensatz aufbrechen und zusätzliche Zeilen oder Felder in exportierte Dateien einschleusen. Voraussetzung ist, dass unvertrauenswürdige Daten in eine Perl-Anwendung gelangen, die CSV-Ausgaben erzeugt.
Betroffen
- Text-CSV_XS Versionen vor 1.65 (CPANSec: betroffen 0 bis < 1.65)
Behoben in
- Text-CSV_XS 1.65 oder neuer (veröffentlicht am 15.10.2026)
Umgehung
- Kein Workaround des Herstellers dokumentiert.
- CR- und LF-Zeichen aus Feldern entfernen oder zurückweisen, bevor sie an combine oder print übergeben werden.
- Alle Ausgabefelder quotieren, z. B. mit der Option always_quote (Moduldokumentation prüfen).
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Kein öffentlicher Proof of Concept bestätigt zum Zeitpunkt der Erstellung.
- Laut einem Drittanbieter-Aggregator nicht im CISA-KEV-Katalog erfasst; bei CISA verifizieren.
Unsere Empfehlung
- Text-CSV_XS in allen Perl-Skripten, Paketen und Anwendungen auf Version 1.65 oder neuer aktualisieren.
- Prüfen, ob Perl-Anwendungen CSV aus Benutzereingaben, Webformularen, APIs oder externen Daten erzeugen.
- Bis zur Aktualisierung den Eingabefilter- oder Quotierungs-Workaround anwenden und nur vertrauenswürdige Daten verarbeiten.
- Distributionspakete (Debian, Ubuntu, RHEL, SUSE, Fedora) anhand der jeweiligen Advisories prüfen, bevor von einem Fix ausgegangen wird.
- Auf Herstellerhinweise achten und nachgelagerte Tabellenkalkulations- oder Importprozesse auf manipulierte Zeilen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit (patch) github.com
- Text-CSV_XS 1.65 changes metacpan.org
- Text-CSV_XS 1.65 release metacpan.org
- VulDB vulnerability 421522 vuldb.com
- VulDB CVE record vuldb.com
- OSV Azure Linux entry osv.dev
- Ubuntu security status ubuntu.com
- Vulners NVD mirror vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.