CVE-2026-116273
Niskie ryzyko· EPSS 7%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
MIME::Parser w wersjach przed 5.521 dla Perla domyślnie nie ogranicza liczby części wiadomości, co pozwala na wyczerpanie pamięci. Opcja max_parts domyślnie wynosiła -1 (brak limitu), a wersja 5.521 ustawia domyślnie max_parts na 1000 i max_depth na 64.
Ocena ryzyka
Zdalny nadawca może wysłać wiadomość z ogromną liczbą części, wyczerpując pamięć aplikacji pocztowej i powodując odmowę usługi.
Rekomendacja
Zaktualizuj MIME::Parser do wersji 5.521 lub nowszej.
Inne podatności w MIME::Parser
Zobacz wszystkie- CVE-2026-116267Niskie ryzyko· EPSS 7%
Biblioteka MIME::Parser w wersjach przed 5.521 dla Perla pozwala na wyczerpanie pamięci poprzez wcięte komunikaty błędów z obciętej, głęboko zagnieżdżonej wiadomości. Każda zapisana diagnostyka parsera jest wcinana o trzy spacje na poziom zagnieżdżenia, a gdy wiadomość zagnieżdżona N poziomów kończy się bez zamykających granic, każdy poziom loguje błąd na własnej głębokości, więc zapisane diagnostyki rosną kwadratowo względem N. Domyślne ustawienia nie nakładają limitu na głębokość zagnieżdżenia.
- CVE-2026-42504Wysokie
Dekodowanie złośliwie spreparowanego nagłówka MIME zawierającego wiele nieprawidłowych zakodowanych słów może prowadzić do nadmiernego zużycia procesora (CPU).
Oryginalny opis (angielski, źródło NVD)
MIME::Parser versions before 5.521 for Perl set no limit on the number of message parts by default, allowing memory exhaustion. The max_parts option defaulted to -1, which disables the limit, so a parser created with default settings builds an entity for every part however many a message has. Version 5.521 sets max_parts to 1000 and max_depth to 64 by default. Setting either to -1 still removes the limit.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS