CVE-2026-61816

zbateson/mail-mime-parser to parser mime poczty będący alternatywą dla funkcji imap* PHP i bibliotek Pear do odczytywania wiadomości w formacie wiadomości internetowych RFC 822. Począwszy od wersji 2.0.0, a przed wersjami 3.0.6 i 4.0.2, luka w zabezpieczeniach związana z niekontrolowanym zużyciem zasobów/złożonością algorytmiczną (CWE-400) wpływa na każdą aplikację, która analizuje niezaufane wiadomości e-mail przy użyciu tej biblioteki. Koszt trzech niezależnych ścieżek analizowania jest superliniowy, więc ograniczenie rozmiaru bajtów po stronie wywołującego **nie** ogranicza wykonanej pracy. Stworzona wiadomość o rozmiarze mniejszym niż 2 MB może zająć sekundy procesora lub setki megabajtów do wielu gigabajtów pamięci (co prowadzi do zniszczenia spowodowanego brakiem pamięci), umożliwiając odmowę usługi. Analiza jest leniwa, ale koszt jest płacony przy pierwszym „getAllParts()” lub przeczytaniu treści. Zostało to naprawione w wersjach 4.0.2 i 3.0.6. Poprawki dodają konfigurowalne ograniczenia głębokości zagnieżdżenia wieloczęściowego i liczby nagłówków/całkowitego rozmiaru nagłówka (rejestrowanie błędu analizy przekraczającego próg zamiast wyrzucania) oraz zmianę dodawania rodzeństwa na O(n). Użytkownicy powinni dokonać aktualizacji do jednej z tych (lub nowszych) wersji. Wersje 2.x również są dotknięte tym problemem, ale ich żywotność dobiegła końca i nie otrzymają poprawek; użytkownicy tych linii powinni dokonać aktualizacji do wersji stałej. (Wersje wcześniejsze niż 2.0 korzystały z innego analizatora składni i wszystkie trzy ścieżki nie mają na nie wpływu). Koszty te są superliniowe, więc samo ograniczenie rozmiaru bajtów wejściowych ich nie ogranicza. Do czasu aktualizacji ogranicz dostęp parsera do niezaufanych danych wejściowych i uruchamiaj analizowanie w ramach ograniczonego limitu pamięci i limitu czasu wykonania, aby złośliwa wiadomość nie wykonała swojego żądania, a nie wyczerpała hosta.