PT-2026-48340
CVE-2026-47240
·
تاريخ النشر
2026-04-24
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Net::IMAP الأقدم من 0.6.5
إصدارات Net::IMAP الأقدم من 0.5.15
الوصف
يُنفذ Net::IMAP وظائف عميل بروتوكول الوصول إلى رسائل الإنترنت (IMAP) بلغة Ruby. تقبل بعض الأوامر وسيطة بيانات خام يتم إرسالها حرفياً بعد التحقق من صحتها. إذا كان الخادم لا يدعم القيم الثابتة غير المتزامنة (القيم الثابتة التي لا تتطلب استجابة متابعة من الخادم)، فقد يفسر تسلسلات بايت معينة على أنها نهاية سطر أوامر غير صحيح التكوين. وهذا يسمح للمهاجم بحقن أوامر IMAP تعسفية عبر هجوم حقن CRLF (Carriage Return Line Feed)، حيث يتم تفسير محتويات القيمة الثابتة على أنها أوامر جديدة متسلسلة. تؤثر هذه المشكلة على المعلمة
criteria في الدالتين search() وuid search()، والمعلمة search keys في الدالات sort() وthread() وuid sort() وuid thread()، والمعلمة attr في الدالتين fetch() وuid fetch().التوصيات
قم بالتحديث إلى الإصدار 0.6.5 أو أحدث.
قم بالتحديث إلى الإصدار 0.5.15 أو أحدث.
تحقق بشكل صريح من صحة المدخلات التي يتحكم فيها المستخدم لمنع وجود القيم الثابتة المضمنة غير المتزامنة ما لم يدعمها الخادم.
احظر جميع القيم الثابتة المضمنة عن طريق التأكد من أن مدخلات السلاسل لا تحتوي على أي بايتات CR أو LF.
تحقق من أن الخادم يعلن عن إمكانيات
LITERAL+ أو LITERAL- أو IMAP4rev2 قبل استخدام مدخلات سلاسل غير موثوق بها لوسائط البيانات الأولية المتأثرة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾