Cyber ·
SQL::Abstract para Perl anterior a 2.000001_04: três CVEs de injeção de SQL e XSS
Três vulnerabilidades (CVE-2026-121007, CVE-2026-121008 e CVE-2026-121009) afetam versões anteriores a 2.000001_04 do SQL::Abstract e do SQL::Abstract::Tree para Perl. Os relatos citam injeção de SQL e XSS.
O aviso foi publicado no feed oss-sec em 4 de novembro de 2026 e consiste em uma tradução automática do conteúdo original. Segundo o texto disponível, três CVEs afetam bibliotecas Perl usadas para montar consultas SQL. CVE-2026-121007: as versões do SQL::Abstract desde 1.90_01 até antes de 2.000001_04 permitem injeção de SQL por meio dos valores where de uma instrução aninhada em uma posição de identificador. CVE-2026-121008: as versões do SQL::Abstract::Tree anteriores a 2.000001_04 permitem cross-site scripting por meio de texto SQL e valores de bind sem escape no perfil html. CVE-2026-121009: as versões do SQL::Abstract desde 1.90_01 até antes de 2.000001_04 ignoram uma verificação, mas o texto recebido está truncado e não detalha o efeito. A correção indicada é a versão 2.000001_04 ou posterior. Para verificar, consulte o arquivo original da lista oss-sec de 2026, no quarto trimestre, mensagem 513, e as entradas oficiais das CVEs.
Fonte original: SQL-Abstract para Perl anterior à versão 2.000001_04: três CVEs