ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-42246

ruby net-imap

net-imap vulnerable to STARTTLS stripping via invalid response timing

CVSS 4.0
7.6بالا

شرح رسمی (انگلیسی)

Net::IMAP implements Internet Message Access Protocol (IMAP) client functionality in Ruby. Prior to versions 0.3.10, 0.4.24, 0.5.14, and 0.6.4, a man-in-the-middle attacker can cause Net::IMAP#starttls to return "successfully", without starting TLS. This issue has been patched in versions 0.3.10, 0.4.24, 0.5.14, and 0.6.4.

امتیازهای CVSS

امتیازنسخهمنبعبردار
7.6بالا 4.0 CVEProject cvelistV5 (CNA) (GitHub_M) CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
7.4بالا 3.1 CVEProject cvelistV5 (CNA) (redhat-SADP) CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
ruby net-imap < 0.3.10 CVEProject cvelistV5 (CNA)
ruby net-imap >= 0.4.0, < 0.4.24 CVEProject cvelistV5 (CNA)
ruby net-imap >= 0.5.0, < 0.5.14 CVEProject cvelistV5 (CNA)
ruby net-imap >= 0.6.0, < 0.6.4 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۳۱
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۵/۰۲/۱۹
آخرین به‌روزرسانی
۱۴۰۵/۰۶/۰۲
وضعیت
منتشرشده
صادرکننده (CNA)
GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۳۱٪
احتمال بهره‌برداری در ۳۰ روز
۲۴٫۳٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
خیر
وضعیت بهره‌برداری
ندارد
اثر فنی
کامل

ضعف‌ها (CWE)

  • CWE-392
    Missing Report of Error Condition
  • CWE-393
    Return of Wrong Status Code
  • CWE-754
    Improper Check for Unusual or Exceptional Conditions
  • CWE-636
    Not Failing Securely ('Failing Open')
  • CWE-841
    Improper Enforcement of Behavioral Workflow
  • CWE-325
    Missing Cryptographic Step