CVE-2026-44844
MediumCVSS 6.3Exploitation Probability (EPSS)
Low risk31th percentile - higher than 31% of all known CVEs
Summary
Moduł eml_parser w wersjach przed 3.0.1 ma problem z nieograniczoną rekurencją w metodzie EmlParser.get_raw_body_text(), co może prowadzić do błędu RecursionError przy przetwarzaniu źle skonstruowanych plików EML z zagnieżdżonymi wiadomościami. Atakujący może wykorzystać tę podatność, dostarczając plik EML z około 120 zagnieżdżonymi częściami wiadomości/rfc822.
Risk Assessment
Podatność ta może prowadzić do awarii parsera, co w konsekwencji może wpłynąć na dostępność usług przetwarzających e-maile. Choć scenariusz ataku jest mało prawdopodobny, to jednak może stanowić ryzyko w przypadku przetwarzania nieznanych lub niezweryfikowanych plików EML.
Recommendation
Zaleca się aktualizację modułu eml_parser do wersji 3.0.1 lub nowszej, aby usunąć tę podatność. Dodatkowo warto wprowadzić mechanizmy weryfikacji plików EML przed ich przetwarzaniem.
Original NVD description (English source)
eml_parser serves as a python module for parsing eml files and returning various information found in the e-mail as well as computed information. Prior to 3.0.1, EmlParser.get_raw_body_text() recurses unconditionally for every nested message/rfc822 attachment without any depth limit. An attacker who can supply a badly crafted EML file with approximately 120 nested message/rfc822 parts triggers an unhandled RecursionError and aborts parsing of the message. A 12 KB EML file is enough to crash a worker. Though this causes the parser to crash, it is an unlikely scenario as the suggested EML that crashes the parser would not pass basic RFC compliance tests. This vulnerability is fixed in 3.0.1.