CVE-2026-42257
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Net::IMAP implementuje funkcjonalność klienta IMAP w Ruby. Przed wersjami 0.4.24, 0.5.14 i 0.6.4 kilka poleceń Net::IMAP akceptuje surowy argument ciągu, który jest wysyłany do serwera bez walidacji lub ucieczki. Jeśli ten ciąg pochodzi z danych kontrolowanych przez użytkownika, może zawierać sekwencje CRLF, które atakujący może wykorzystać do wstrzyknięcia dowolnych poleceń IMAP.
Ocena ryzyka
Atakujący może wysyłać dowolne polecenia IMAP do serwera, co może prowadzić do nieautoryzowanego dostępu do skrzynek pocztowych, kradzieży wiadomości lub modyfikacji danych.
Rekomendacja
Zaleca się aktualizację Net::IMAP do wersji 0.4.24, 0.5.14 lub 0.6.4 (w zależności od używanej gałęzi).
Oryginalny opis (angielski, źródło NVD)
Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. Prior to versions 0.4.24, 0.5.14, and 0.6.4, several Net::IMAP commands accept a raw string argument that is sent to the server without validation or escaping. If this string is derived from user-controlled input, it may contain contain CRLF sequences, which an attacker can use to inject arbitrary IMAP commands. This issue has been patched in versions 0.4.24, 0.5.14, and 0.6.4.