GHSA-85x2-q946-cp5h
ŚrednieStreszczenie
Biblioteka addressparser kończy parsowanie adresu w nawiasach kątowych na pierwszym znaku `>`, nawet jeśli znajduje się on wewnątrz cytowanej części lokalnej, komentarza lub literału domeny. Domena jest następnie odczytywana z tekstu przed tym znakiem, co prowadzi do błędnej interpretacji adresu e-mail.
Ocena ryzyka
Atakujący może spreparować adres e-mail, który zostanie błędnie zinterpretowany przez aplikację, co może prowadzić do obejścia walidacji adresów lub podszycia się pod innego nadawcę.
Rekomendacja
Zaktualizuj bibliotekę addressparser do wersji zawierającej poprawkę lub zastąp ją parserem zgodnym z RFC 5322. Zweryfikuj, czy aplikacja nie polega na błędnie parsowanych adresach.
Inne podatności w addressparser
Zobacz wszystkie- GHSA-v53p-9fqp-m79jWysokie
Gdy addressparser nie znajdzie adresu w ścisłym odczycie, używa wzorca /\s*\b[^@\s]+@[^\s]+\b\s*/ do wyciągnięcia adresu z tekstu. Ten wzorzec powoduje kwadratowe cofanie, co prowadzi do przeciążenia przy przetwarzaniu pojedynczego nagłówka.
- GHSA-m943-m63m-w62wŚrednie
addressparser kończy grupę RFC 5322 na pierwszym znaku `;`, nawet jeśli znajduje się on wewnątrz cytowanej nazwy wyświetlanej lub komentarza. Tekst po nim jest ponownie parsowany jako odbiorcy najwyższego poziomu z odwróconym cytowaniem, przez co tekst, który zgodny parser odczytałby jako nazwę wyświetlaną lub komentarz, zostaje błędnie zinterpretowany.
- GHSA-8c8m-p3m8-cjg8Średnie
Komentarze w RFC 5322 mogą być zagnieżdżone, ale addressparser kończy komentarz na pierwszym znaku `)`, w tym tym zamykającym komentarz zagnieżdżony, a resztę zewnętrznego komentarza parsuje jako tekst nagłówka. Prowadzi to do błędnej interpretacji adresu e-mail.
Oryginalny opis (angielski, źródło NVD)
### Vulnerability summary addressparser ends an angle-addr at the first `>` it sees, including one inside a quoted local part, a comment or a domain literal. The domain is then read off the text in front of that `>`. `<"[email protected]>"@good.com>` is the mailbox `"[email protected]>"@good.com` under RFC 5322,
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS