GHSA-8c8m-p3m8-cjg8
ŚrednieStreszczenie
Komentarze w RFC 5322 mogą być zagnieżdżone, ale addressparser kończy komentarz na pierwszym znaku `)`, w tym tym zamykającym komentarz zagnieżdżony, a resztę zewnętrznego komentarza parsuje jako tekst nagłówka. Prowadzi to do błędnej interpretacji adresu e-mail.
Ocena ryzyka
Atakujący może wykorzystać spreparowany nagłówek e-mail, aby wprowadzić w błąd parser i spowodować błędne przypisanie adresu nadawcy, co może skutkować podszyciem się lub obejściem filtrów.
Rekomendacja
Zaktualizuj addressparser do wersji z poprawką obsługującą zagnieżdżone komentarze zgodnie z RFC 5322. Przetestuj aplikację pod kątem podatności na spreparowane nagłówki.
Inne podatności w addressparser
Zobacz wszystkie- GHSA-v53p-9fqp-m79jWysokie
Gdy addressparser nie znajdzie adresu w ścisłym odczycie, używa wzorca /\s*\b[^@\s]+@[^\s]+\b\s*/ do wyciągnięcia adresu z tekstu. Ten wzorzec powoduje kwadratowe cofanie, co prowadzi do przeciążenia przy przetwarzaniu pojedynczego nagłówka.
- GHSA-m943-m63m-w62wŚrednie
addressparser kończy grupę RFC 5322 na pierwszym znaku `;`, nawet jeśli znajduje się on wewnątrz cytowanej nazwy wyświetlanej lub komentarza. Tekst po nim jest ponownie parsowany jako odbiorcy najwyższego poziomu z odwróconym cytowaniem, przez co tekst, który zgodny parser odczytałby jako nazwę wyświetlaną lub komentarz, zostaje błędnie zinterpretowany.
- GHSA-85x2-q946-cp5hŚrednie
Biblioteka addressparser kończy parsowanie adresu w nawiasach kątowych na pierwszym znaku `>`, nawet jeśli znajduje się on wewnątrz cytowanej części lokalnej, komentarza lub literału domeny. Domena jest następnie odczytywana z tekstu przed tym znakiem, co prowadzi do błędnej interpretacji adresu e-mail.
Oryginalny opis (angielski, źródło NVD)
### Vulnerability summary RFC 5322 comments nest. addressparser ended a comment at the first `)`, including the one that closes a nested comment, and parsed the rest of the outer comment as header text. `Victim (x(y) <[email protected]>) <[email protected]>` names `[email protected]` with `x(y) <[email protected]>`
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS