CVE-2026-116739

ŚrednieCVSS 4.3

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 27/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Biblioteka VMime do wersji 0.9.2 zawiera podatność ujawnienia informacji w funkcji uuEncoder::decode, która zapisuje niezainicjowaną pamięć stosu do zdekodowanego wyjścia dla zbyt długich linii. Atakujący może wysłać spreparowaną część MIME uuencode lub x-uuencode z dużym bajtem długości linii, aby wyciec do 15 bajtów zawartości stosu na linię w zdekodowanych załącznikach.

Ocena ryzyka

Może dojść do wycieku wrażliwych danych z pamięci procesu, co stanowi ryzyko ujawnienia informacji poufnych. Organizacje przetwarzające załączniki MIME za pomocą VMime są narażone na kradzież danych.

Rekomendacja

Zaktualizuj bibliotekę VMime do wersji nowszej niż 0.9.2, jeśli jest dostępna, lub wdroż poprawkę od dostawcy. Do czasu aktualizacji rozważ ograniczenie przetwarzania nieufnych załączników uuencode.

Inne podatności w VMime

CVE-2026-116738Wysokie
VMime do wersji 0.9.2 zawiera niedomiar liczby całkowitej w funkcji uuEncoder::decode, który pozwala zdalnym atakującym wywołać przepełnienie bufora na stosie za pomocą spreparowanych części MIME zakodowanych w uuencode. Atakujący może wysłać e-mail z linią uuencoded, której znak długości to 'b', ale nie jest to linia 'begin', co uszkadza pamięć stosu i może spowodować awarię aplikacji lub potencjalne wykonanie kodu.

Oryginalny opis (angielski, źródło NVD)

VMime through 0.9.2 contains an information disclosure vulnerability in the uuEncoder::decode function that writes uninitialized stack memory into decoded output for over-long lines. Attackers can send a crafted uuencode or x-uuencode MIME part with a large line length byte to leak up to 15 bytes of stack contents per line in decoded attachments.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS