CVE-2026-63435 in Mail
Riassunto
di VulDB • 02/09/2026
Mail è una libreria Internet per Ruby progettata per gestire la generazione, l'analisi e l'invio di email. Prima della versione 2.9.1, le funzioni Mail::Utilities.q_value_decode e Mail::Utilities.b_value_decode utilizzavano un singolo String#match e una cattura del charset eccessivamente greedy (avida) per decodificare solo il primo encoded-word RFC 2047, gestendo in modo errato i testi circostanti o successivi. Un encoded-word malformato e appositamente creato nel nome visualizzato di un indirizzo o nella parte locale potrebbe superare i delimiter ? facendo sì che i valori dei header From, To o Reply-To decodificati differiscano dai valori grezzi ispezionati da un revisore umano o da parser downstream, consentendo lo spoofing apparente del mittente o del destinatario, il phishing o l'elusione dei controlli di autorizzazione. Questo problema è risolto nella versione 2.9.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.