CVE-2026-63435
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Mail to biblioteka internetowa dla Ruby do obsługi poczty e-mail. Przed wersją 2.9.1 funkcje Mail::Utilities.q_value_decode i Mail::Utilities.b_value_decode używały pojedynczego dopasowania String#match i zbyt zachłannego przechwytywania zestawu znaków do dekodowania tylko pierwszego zakodowanego słowa RFC 2047, nieprawidłowo obsługując otaczający lub kolejny tekst. Spreparowane nieprawidłowe zakodowane słowo w nazwie wyświetlanej adresu lub części lokalnej może przekroczyć ograniczniki ? i spowodować, że zdekodowane wartości nagłówków From, To lub Reply-To będą różnić się od surowych wartości sprawdzanych przez człowieka lub dalszy parser, umożliwiając podszywanie się pod nadawcę lub odbiorcę, phishing lub obejście kontroli autoryzacji. Problem naprawiono w wersji 2.9.1.
Ocena ryzyka
Ryzyko obejmuje możliwość podszywania się pod nadawcę lub odbiorcę wiadomości, co może prowadzić do phishingu lub obejścia kontroli dostępu.
Rekomendacja
Zaktualizuj bibliotekę Mail do wersji 2.9.1 lub nowszej.
Inne podatności w Mail
Zobacz wszystkie- CVE-2017-13874Wysokie
W produktach Apple, w tym iOS przed wersją 11.2, odkryto problem związany z komponentem 'Mail'. Umożliwia on zdalnym atakującym ominięcie zamierzonego mechanizmu ochrony szyfrowania poprzez niewłaściwy wybór certyfikatu S/MIME.
- CVE-2017-13871Wysokie
W produktach Apple, w tym w macOS przed wersją 10.13.2, odkryto problem związany z komponentem 'Mail'. Umożliwia on zdalnym atakującym odczytanie treści e-maili w postaci niezaszyfrowanej, które miały być chronione przez szyfrowanie S/MIME.
- CVE-2016-4689Wysokie
W niektórych produktach Apple, w tym iOS przed wersją 10.2, zidentyfikowano problem związany z komponentem 'Mail'. Problem polega na tym, że użytkownik nie jest informowany o podpisie S/MIME e-maila, który używa unieważnionego certyfikatu.
- GHSA-mvxr-6m87-mv2qŚrednie
Podatność w bibliotece Mail dotyczy funkcji q_value_decode i b_value_decode, które dekodują tylko pierwsze zakodowane słowo RFC 2047 w ciągu znaków i używają zbyt zachłannego wzorca do dopasowania tokenu zestawu znaków. Specjalnie spreparowane, nieprawidłowe zakodowane słowo osadzone w nazwie wyświetlanej adresu lub części lokalnej może spowodować nieprawidłowe dekodowanie.
Oryginalny opis (angielski, źródło NVD)
Mail is an internet library for Ruby designed to handle email generation, parsing, and sending. Prior to 2.9.1, Mail::Utilities.q_value_decode and Mail::Utilities.b_value_decode used a single String#match and an overly greedy charset capture to decode only the first RFC 2047 encoded-word and mishandle surrounding or subsequent text. A crafted malformed encoded-word in an address display name or local part could cross ? delimiters and make decoded From, To, or Reply-To header values differ from the raw values inspected by a human reviewer or downstream parser, enabling apparent sender or recipient spoofing, phishing, or authorization-check bypass. This issue is fixed in version 2.9.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS