CVE-2026-116265 in MIME::Field::ParamVal
Zusammenfassung
von VulDB • 28.10.2026
In den Versionen von MIME::Field::ParamVal vor 5.521 für Perl wird eine mehrdeutige Multipart-Grenze (boundary), die als RFC-2231-Kontinuationen geschrieben ist, nicht gekennzeichnet.
Die Prüfungen auf Mehrdeutigkeit der Grenze betrachten nur einen einfachen `boundary=`-Parameter; eine in RFC-2231-Abschnitte unterteilte Grenze (`boundary*0=`, `boundary*1=` usw.) wird erst nach deren Ausführung zusammengeführt. Eine wiederholte Abschnittsnummer wird aneinandergehängt, anstatt als Duplikat gemeldet zu werden. Ab Version 5.518 bleibt auch ein codiertes Wort oder Leerzeichen am Ende einer solchen Grenze unmarkiert, obwohl `multipart_boundary()` es decodiert bzw. entfernt.
Ein Remote-Absender kann MIME::Parser dazu bringen, eine Nachricht an einer anderen Grenze als andere Mail-Clients zu trennen und so einen Anhang vor einem Filter zu verbergen, der auf `ambiguous_content()` basiert, während er im E-Mail-Client des Empfängers angezeigt wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.