GHSA-F2HQ-32VH-53CC
postal-mime: Quadratic CPU consumption when decoding a header of many joinable RFC 2047 base64 encoded words
CVSS 3.1High
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.0.8
Обновите postal-mime до версии 4.0.8 или новее. Уязвимы версии от 3.0.0 до 4.0.7 включительно.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В postal-mime декодирование длинных последовательностей RFC 2047 слов приводит к квадратичному расходу CPU и блокировке event loop.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При парсинге заголовков (`Subject`, `From`, `To` и др.) с множеством идущих подряд base64-слов регулярное выражение проверки слияния перезапускается на каждом шаге по всей накопленной строке, вызывая алгоритмическую сложность O(n²).
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Отказ в обслуживании (DoS). Обработка сообщения размером ~1.6 МБ блокирует поток Node.js на 1–20 секунд, а вложенные части `message/rfc822` кратно увеличивают время зависания.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
——
>= 3.0.0➔Fix: 4.0.8
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/postalsys/postal-mime/security/advisories/GHSA-f2hq-32vh-53cc
- github.comhttps://github.com/postalsys/postal-mime/commit/9eb25a66bb3cc8b631421be651b9648796f19136
- github.comhttps://github.com/postalsys/postal-mime
- github.comhttps://github.com/postalsys/postal-mime/releases/tag/v4.0.8
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости GHSA-F2HQ-32VH-53CC: postal-mime: Quadratic CPU consumption when decoding a header of many joinable RFC 2047 base64 encoded words. URL: https://cve.futuretools.ru/cve/GHSA-F2HQ-32VH-53CC
BibTeX формат (LaTeX)
@misc{cve_futuretools_ghsa_f2hq_32vh_53cc,
title = {{GHSA-F2HQ-32VH-53CC: postal-mime: Quadratic CPU consumption when decoding a header of many joinable RFC 2047 base64 encoded words}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-F2HQ-32VH-53CC}},
note = {Оперативный инженерный анализ киберугроз}
}