JQ::Lite: Beliebige Perl-Code-Ausführung über Regex-Codeblöcke in Abfragen

Zusammenfassung

JQ::Lite für Perl kompiliert das Regex-Muster von test()-, match()- und select()-Bedingungen als Quelltext mittels String-eval. Ein (?{ ... })-Codeblock im Muster wird ohne use re 'eval' ausgeführt, weshalb das Escapen der einfachen Anführungszeichen dies nicht verhindert. Ein Angreifer, der eine Abfrage oder Text liefern kann, den eine Anwendung in ein solches Muster einfügt, kann beliebigen Perl-Code im aufrufenden Prozess ausführen.

Betroffen

• JQ::Lite für Perl, Versionen vor 2.51 (betroffener Bereich laut CNA: 0 bis vor 2.51)

Behoben in

• Auf JQ::Lite 2.51 oder neuer aktualisieren.
• Der Fix-Commit ersetzt das String-eval durch ein qr//-Konstrukt in lib/JQ/Lite/Util/Transform.pm.

Umgehung

• Kein vom Hersteller dokumentierter Workaround. Die Lösung des Herstellers ist das Update.
• Bis zum Update keine benutzergelieferten Abfragen oder benutzergesteuerten Texte in test()-, match()- oder select()-Bedingungen von JQ::Lite übergeben.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept in unserer Recherche gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Perl-Systeme auf JQ::Lite prüfen, einschliesslich CPAN-Installationen und Distributionspakete.
• Wo JQ::Lite im Einsatz ist, auf Version 2.51 oder neuer aktualisieren.
• Bis zum Update untrusted Input von Abfrage- oder Regex-Parametern fernhalten und Anwendungen prüfen, die diese Muster aus Benutzereingaben aufbauen.
• Priorität: mittel, wo Perl-Anwendungen unvertrauenswürdige Abfragen verarbeiten, sonst niedrig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit (patch) github.com
• JQ-Lite 2.51 changelog metacpan.org
• oss-security post www.openwall.com
• OSV record CVE-2026-78497 osv.dev
• Mend vulnerability database www.mend.io
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:22.