GHSA-mvxr-6m87-mv2q
ŚrednieStreszczenie
Podatność w bibliotece Mail dotyczy funkcji q_value_decode i b_value_decode, które dekodują tylko pierwsze zakodowane słowo RFC 2047 w ciągu znaków i używają zbyt zachłannego wzorca do dopasowania tokenu zestawu znaków. Specjalnie spreparowane, nieprawidłowe zakodowane słowo osadzone w nazwie wyświetlanej adresu lub części lokalnej może spowodować nieprawidłowe dekodowanie.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może wykorzystać tę podatność do manipulacji danymi wyświetlanymi w adresach e-mail, co może prowadzić do spoofingu lub obejścia filtrów bezpieczeństwa. Może to narazić organizację na ataki phishingowe lub inne oszustwa oparte na fałszywych adresach.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki Mail do najnowszej wersji zawierającej poprawkę. Należy również przejrzeć kod aplikacji pod kątem użycia funkcji q_value_decode i b_value_decode i dostosować go do nowego zachowania.
Oryginalny opis (angielski, źródło NVD)
## Summary Mail::Utilities.q_value_decode and Mail::Utilities.b_value_decode decoded only the first RFC 2047 encoded-word in a string and used an overly greedy pattern to match the charset token. A crafted, malformed encoded-word embedded in an address display name or local part could cause the dec