CVE-2026-44844
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Moduł eml_parser w wersjach przed 3.0.1 ma problem z nieograniczoną rekurencją w metodzie EmlParser.get_raw_body_text(), co może prowadzić do błędu RecursionError przy przetwarzaniu źle skonstruowanych plików EML z zagnieżdżonymi wiadomościami. Atakujący może wykorzystać tę podatność, dostarczając plik EML z około 120 zagnieżdżonymi częściami wiadomości/rfc822.
Ocena ryzyka
Podatność ta może prowadzić do awarii parsera, co w konsekwencji może wpłynąć na dostępność usług przetwarzających e-maile. Choć scenariusz ataku jest mało prawdopodobny, to jednak może stanowić ryzyko w przypadku przetwarzania nieznanych lub niezweryfikowanych plików EML.
Rekomendacja
Zaleca się aktualizację modułu eml_parser do wersji 3.0.1 lub nowszej, aby usunąć tę podatność. Dodatkowo warto wprowadzić mechanizmy weryfikacji plików EML przed ich przetwarzaniem.
Oryginalny opis (angielski, źródło NVD)
eml_parser serves as a python module for parsing eml files and returning various information found in the e-mail as well as computed information. Prior to 3.0.1, EmlParser.get_raw_body_text() recurses unconditionally for every nested message/rfc822 attachment without any depth limit. An attacker who can supply a badly crafted EML file with approximately 120 nested message/rfc822 parts triggers an unhandled RecursionError and aborts parsing of the message. A 12 KB EML file is enough to crash a worker. Though this causes the parser to crash, it is an unlikely scenario as the suggested EML that crashes the parser would not pass basic RFC compliance tests. This vulnerability is fixed in 3.0.1.