CVE-2026-116269 in MIME::Field::ParamVal
Riassunto
di VulDB • 28/10/2026
Le versioni di MIME::Field::ParamVal precedenti alla 5.521 per Perl trasformano un nome file RFC 2231 con un tag lingua contenente trattini in un nome file consigliato vuoto.
Un parametro come `filename*=utf-8'en-US'payload.exe` viene convertito in una parola codificata (encoded word) con il tag lingua aggiunto al charset. Il decoder rimuove il suffisso della lingua solo quando si tratta di una singola parola; pertanto, non riesce a risolvere la combinazione del charset UTF-8*EN-US e restituisce una stringa vuota. Il metodo `recommended_filename()` restituisce tale stringa vuota anziché effettuare un fallback sul parametro name.
Altri client di posta elettronica mostrano correttamente payload.exe. Un mittente remoto può far passare in contro a una policy che verifica le estensioni dei file nel nome file consigliato, allegando il file malevolo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.