CVE-2026-47241
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Net::IMAP w Ruby przed wersjami 0.6.5 i 0.5.15 ma podatność, która pozwala na wstrzyknięcie dodatkowych poleceń przez atakującego. Wykorzystując nieprawidłowo walidowane argumenty, atakujący może zmusić pierwsze polecenie do oczekiwania na zakończenie innego polecenia.
Ocena ryzyka
Organizacja może być narażona na ataki, które mogą prowadzić do zablokowania komunikacji w systemie IMAP, co może wpłynąć na dostępność usług e-mail.
Rekomendacja
Zaleca się aktualizację do wersji 0.6.5 lub 0.5.15, aby usunąć tę podatność i zabezpieczyć system przed potencjalnymi atakami.
Inne podatności w Net::IMAP
Zobacz wszystkie- CVE-2026-42257Krytyczne
Net::IMAP implementuje funkcjonalność klienta IMAP w Ruby. Przed wersjami 0.4.24, 0.5.14 i 0.6.4 kilka poleceń Net::IMAP akceptuje surowy argument ciągu, który jest wysyłany do serwera bez walidacji lub ucieczki. Jeśli ten ciąg pochodzi z danych kontrolowanych przez użytkownika, może zawierać sekwencje CRLF, które atakujący może wykorzystać do wstrzyknięcia dowolnych poleceń IMAP.
- CVE-2026-47242Średnie
W bibliotece Net::IMAP w Ruby występuje podatność, która pozwala na wstrzykiwanie dowolnych poleceń IMAP poprzez nieprawidłową walidację argumentów w metodach #id i #enable. Problem ten dotyczy wersji przed 0.6.5 i 0.5.15.
- CVE-2026-47240Średnie
W bibliotece Net::IMAP w Ruby występuje podatność, która pozwala na wstrzyknięcie dowolnych poleceń IMAP w przypadku, gdy serwer nie obsługuje literałów niesynchronizujących. Wersje przed 0.6.5 i 0.5.15 są narażone na atak, który może prowadzić do wykonania nieautoryzowanych poleceń.
- CVE-2026-42258Średnie
Biblioteka Net::IMAP w Ruby przed wersjami 0.4.24, 0.5.14 i 0.6.4 jest podatna na wstrzyknięcie CRLF / komend IMAP poprzez argumenty symboliczne przekazywane do komend IMAP.
- CVE-2026-42256Średnie
W Net::IMAP dla Ruby (wersje od 0.4.0 do przed 0.4.24, 0.5.0 do przed 0.5.14, 0.6.0 do przed 0.6.4) podczas uwierzytelniania SCRAM-SHA1 lub SCRAM-SHA256, wrogi serwer może przeprowadzić atak DoS poprzez wysłanie dużej wartości licznika iteracji, co obciąża proces klienta.
- CVE-2026-42246Wysokie
W bibliotece Net::IMAP dla Ruby przed wersjami 0.3.10, 0.4.24, 0.5.14 i 0.6.4 atakujący typu man-in-the-middle może sprawić, że metoda starttls zwróci 'sukces' bez faktycznego uruchomienia TLS.
- CVE-2026-42245Wysokie
Net::IMAP w Ruby ma problem z kwadratową złożonością czasową podczas odczytu dużych odpowiedzi zawierających wiele literałów łańcuchowych. Wrogi serwer może wysłać spreparowane odpowiedzi, które przeciążą procesor klienta, prowadząc do ataku typu odmowa usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. Prior to 0.6.5 and 0.5.15, several Net::IMAP commands accept a raw string argument which is only validated to prevent CRLF injection and then sent verbatim. If this string is derived from user-controlled input, an attacker can force the next command to be absorbed as a continuation of the first command. This will cause the first command to eventually fail, but also prevents it from returning until another command is sent (from another thread). That other command will not return until the connection is closed. This vulnerability is fixed in 0.6.5 and 0.5.15.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS