CVE-2026-102471

Nome do Software Vulnerável e Versões Afetadas Eclipse Vert.x versões 4.0.0 até 4.5.34 Eclipse Vert.x versões 5.0.0 até 5.0.12 Eclipse Vert.x versões 5.1.0 até 5.1.9 Eclipse Vert.x versão 5.2.0

Description O componente vertx-mail-client não sanitiza caracteres de Carriage Return (CR) ou Line Feed (LF) em nomes e valores de cabeçalho de e-mail fornecidos pelo usuário antes de gravá-los na seção SMTP DATA. Um invasor não autenticado que controle nomes de cabeçalho, valores ou metadados de anexo pode injetar cabeçalhos arbitrários, como Bcc, Reply-To ou Content-Type, ou prefixar conteúdo ao corpo da mensagem. Este problema ocorre quando valores são passados para MailMessage.addHeader(), MailMessage.setHeaders(), MailAttachment.addHeader() ou MailAttachment.setHeaders(). Além disso, metadados de parte MIME definidos via MailAttachment.setContentType(), setDisposition(), setDescription() e setContentId() são gravados sem validação. Uma falha secundária em Utils.mustEncode(char) permite que um LF simples em um nome de exibição do remetente ignore a codificação Q-encoding, que é um método usado para codificar caracteres não ASCII em cabeçalhos de e-mail.

Recommendations Atualize as versões do Eclipse Vert.x 4.0.0 até 4.5.34 para uma versão posterior à 4.5.34. Atualize as versões do Eclipse Vert.x 5.0.0 até 5.0.12 para uma versão posterior à 5.0.12. Atualize as versões do Eclipse Vert.x 5.1.0 até 5.1.9 para uma versão posterior à 5.1.9. Atualize a versão do Eclipse Vert.x 5.2.0 para uma versão posterior à 5.2.0.