CVE-2026-61815
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
zbateson/mail-mime-parser to parser mime poczty będący alternatywą dla funkcji imap* PHP i bibliotek Pear do czytania wiadomości w formacie wiadomości internetowych RFC 822. Przed wersjami 3.0.6 i 4.0.2 wstrzykiwanie nagłówka CRLF (CWE-93) wpływało na każdą aplikację korzystającą z tej biblioteki do tworzenia lub przesyłania dalej wiadomości MIME z nazwą pliku załącznika, na którą ma wpływ atakujący. Nazwy plików załączników są interpolowane do wartości nagłówka „Content-Type” i „Content-Disposition” bez usuwania CR/LF, więc nazwa pliku zawierająca „\r\n” jest serializowana jako jedna lub więcej dodatkowych linii nagłówka kontrolowanych przez osobę atakującą (na przykład sfałszowany „UDW:”, który po cichu wydobywa kopię wiadomości wychodzącej). Niezaufana nazwa pliku może pochodzić bezpośrednio z przeanalizowanej poczty przychodzącej, więc nie jest wymagana żadna lokalna konstrukcja — narażona jest aplikacja, która ponownie dołącza lub ponownie wysyła przeanalizowaną nazwę pliku. Wersje 3.0.6 i 4.0.2 łatają ten problem. Wersje 1.x i 2.x również są dotknięte, ale ich żywotność dobiegła końca i nie otrzymają poprawek; użytkownicy tych linii powinni dokonać aktualizacji do wersji stałej. Jeśli aktualizacja nie jest natychmiast możliwa, usuń CR i LF z dowolnej nazwy pliku przed przekazaniem jej do interfejsów API załączników oraz z wyniku getFilename() przed ponownym użyciem ich w skonstruowanej wiadomości — np. preg_replace('/[\r\n]+/', ' ', $nazwa pliku).
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org