PT-2026-23616
CVE-2026-30227
·
تاريخ النشر
2026-03-05
·
تاريخ التحديث
2026-03-07
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MimeKit الأقدم من 4.15.1
إصدارات MailKit الأقدم من 4.15.1
الوصف
يوجد ثغرة تتعلق بحقن CRLF في MimeKit وMailKit عند معالجة عناوين مغلف SMTP. وعلى وجه التحديد، عندما يكون الجزء المحلي من العنوان عبارة عن سلسلة محاطة بعلامات اقتباس، يفشل البرنامج في منع إدراج أحرف العودة إلى السطر والانتقال إلى السطر التالي (
r ) بشكل مناسب. هذا عدم الامتثال لمعيار RFC 5321 يسمح للمهاجم بحقن أوامر SMTP، مثل RCPT TO وDATA وRSET، أو ربما حقن رؤوس رسائل البريد الإلكتروني، اعتمادًا على كيفية استخدام التطبيق لـ MailKit/MimeKit. تظهر المشكلة عندما يتمكن المهاجم من التحكم في قيمة MailboxAddress التي يتم تسلسلها لاحقًا في جلسة SMTP. تحدث هذه الثغرة الأمنية لأن RFC 5321 يحظر استخدام الأحرف CR وLF داخل السلاسل الموضوعة بين علامتي اقتباس. المكونات المتأثرة هي MimeKit 4.15.0 وMailKit 4.15.0، وقد تتأثر أي تطبيق يقبل مدخلات غير موثوقة لعناوين المرسل/المستلم، ويقوم بإنشاء كائنات MailboxAddress من هذه المدخلات، ويرسل رسائل عبر SMTP. قد يؤدي استغلال هذه الثغرة إلى إعادة توجيه رسائل البريد الإلكتروني، وتسريب البيانات، وإتلاف حالة معاملة SMTP، وربما حقن الرؤوس أو التحايل على السجلات.التوصيات
يجب تحديث الإصدارات الأقدم من 4.15.1 إلى الإصدار 4.15.1 أو أحدث.
يرجى رفض أحرف العودة إلى السطر وتقدم السطر (`
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾