GHSA-m943-m63m-w62w
ŚrednieStreszczenie
addressparser kończy grupę RFC 5322 na pierwszym znaku `;`, nawet jeśli znajduje się on wewnątrz cytowanej nazwy wyświetlanej lub komentarza. Tekst po nim jest ponownie parsowany jako odbiorcy najwyższego poziomu z odwróconym cytowaniem, przez co tekst, który zgodny parser odczytałby jako nazwę wyświetlaną lub komentarz, zostaje błędnie zinterpretowany.
Ocena ryzyka
Atakujący może spreparować adres e-mail, który zostanie błędnie zinterpretowany, co może prowadzić do obejścia walidacji lub podszycia się pod innego nadawcę.
Rekomendacja
Zaktualizuj addressparser do wersji zawierającej poprawkę lub zastąp ją parserem zgodnym z RFC 5322. Zweryfikuj poprawność parsowania grup adresów w aplikacji.
Inne podatności w addressparser
Zobacz wszystkie- GHSA-v53p-9fqp-m79jWysokie
Gdy addressparser nie znajdzie adresu w ścisłym odczycie, używa wzorca /\s*\b[^@\s]+@[^\s]+\b\s*/ do wyciągnięcia adresu z tekstu. Ten wzorzec powoduje kwadratowe cofanie, co prowadzi do przeciążenia przy przetwarzaniu pojedynczego nagłówka.
- GHSA-85x2-q946-cp5hŚrednie
Biblioteka addressparser kończy parsowanie adresu w nawiasach kątowych na pierwszym znaku `>`, nawet jeśli znajduje się on wewnątrz cytowanej części lokalnej, komentarza lub literału domeny. Domena jest następnie odczytywana z tekstu przed tym znakiem, co prowadzi do błędnej interpretacji adresu e-mail.
- GHSA-8c8m-p3m8-cjg8Średnie
Komentarze w RFC 5322 mogą być zagnieżdżone, ale addressparser kończy komentarz na pierwszym znaku `)`, w tym tym zamykającym komentarz zagnieżdżony, a resztę zewnętrznego komentarza parsuje jako tekst nagłówka. Prowadzi to do błędnej interpretacji adresu e-mail.
Oryginalny opis (angielski, źródło NVD)
### Vulnerability summary addressparser ends an RFC 5322 group at the first `;`, including one inside a quoted display name or a comment. The text after it is parsed again as top level recipients with the quoting flipped, so text that every conformant parser reads as a display name or comment becom
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS