CVE-2026-47241

Nome do Software Vulnerável e Versões Afetadas Net::IMAP versões anteriores a 0.5.15 Net::IMAP versões anteriores a 0.6.5

Description Diversos comandos no cliente Ruby Net::IMAP aceitam argumentos de string bruta que são validados apenas para evitar a injeção de CRLF e, em seguida, enviados verbatim. Uma expressão regular incorreta na verificação do marcador final não corresponde a {0} ou {0+}, permitindo que strings controladas por um invasor que terminem com esses marcadores passem na validação. Quando esses argumentos são enviados, o servidor interpreta o CRLF final como parte de um prefixo literal, fazendo com que o próximo comando enviado pelo cliente seja absorvido como uma continuação do primeiro. Isso resulta na falha eventual do primeiro comando e no travamento do segundo comando até que a conexão seja fechada, podendo levar a uma negação de serviço por meio de falhas inesperadas e timeouts. Este problema é particularmente impactante em ambientes multi-thread.

Os componentes afetados incluem:

Recommendations Atualize para a versão 0.5.15 ou 0.6.5. Como medida paliativa temporária, valide se a entrada do usuário fornecida aos argumentos dos comandos afetados não termina com o caractere }. Implemente Timeout ou outras estratégias padrão para gerenciar conexões lentas e servidores com mau comportamento para mitigar os efeitos de comandos travados.