SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-33635

ŚrednieCVSS 4.3
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Streszczenie

Biblioteka iCalendar dla Ruby (wersje od 2.0.0 do przed 2.12.2) nie sanityzuje poprawnie wartości właściwości URI podczas serializacji .ics, co umożliwia wstrzyknięcie ICS poprzez dane kontrolowane przez atakującego i dodanie dowolnych linii kalendarza do wyniku. Klasa Icalendar::Values::Uri w przypadku niepowodzenia URI.parse używa surowego ciągu i serializuje go bez usuwania znaków CRLF, co pozwala na zakończenie oryginalnej właściwości i utworzenie nowej. Aplikacje generujące pliki .ics z częściowo niezaufanych metadanych są narażone, a klienci kalendarza mogą przetwarzać wstrzyknięte dane jako prawdziwe zdarzenia.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe dane do plików kalendarza .ics, co może prowadzić do dodania fałszywych uczestników, zmiany adresów URL, alarmów lub innych pól kalendarza przetwarzanych przez klientów kalendarza. Może to skutkować phishingiem lub nieautoryzowanymi działaniami w kalendarzach użytkowników.

Rekomendacja

Zaktualizuj bibliotekę iCalendar do wersji 2.12.2 lub nowszej, która zawiera poprawkę. Dodatkowo waliduj i sanityzuj dane wejściowe przed generowaniem plików .ics.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

iCalendar is a Ruby library for dealing with iCalendar files in the iCalendar format defined by RFC-5545. Starting in version 2.0.0 and prior to version 2.12.2, .ics serialization does not properly sanitize URI property values, enabling ICS injection through attacker-controlled input, adding arbitrary calendar lines to the output. `Icalendar::Values::Uri` falls back to the raw input string when `URI.parse` fails and later serializes it with `value.to_s` without removing or escaping `\r` or `\n` characters. That value is embedded directly into the final ICS line by the normal serializer, so a payload containing CRLF can terminate the original property and create a new ICS property or component. (It looks like you can inject via url, source, image, organizer, attach, attendee, conference, tzurl because of this). Applications that generate `.ics` files from partially untrusted metadata are impacted. As a result, downstream calendar clients or importers may process attacker-supplied content as if it were legitimate event data, such as added attendees, modified URLs, alarms, or other calendar fields. Version 2.12.2 contains a patch for the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS