CVE-2026-61816

zbateson/mail-mime-parser, İnternet Mesaj Formatı RFC 822 standartlarındaki mesajları okumak için PHP'nin imap* fonksiyonlarına ve Pear kütüphanelerine alternatif bir mail mime ayrıştırıcısıdır. Versiyon 2.0.0 ile başlayıp versiyon 3.0.6 ve 4.0.2 öncesine kadar olan sürümlerde, bu kütüphane ile güvenilmeyen e-postaları ayrıştıran tüm uygulamaları etkileyen kontrolsüz kaynak tüketimi / algoritmik karmaşıklık zafiyeti (CWE-400) bulunmaktadır. Üç bağımsız ayrıştırma yolu süper-lineer maliyete sahiptir, bu nedenle çağıran taraftaki bayt boyutu sınırı yapılan işi sınırlandırmaz. Özel olarak hazırlanmış 2 MB altındaki bir mesaj, saniyelerce CPU tüketebilir veya yüzlerce megabayttan birkaç gigabayta kadar bellek kullanabilir (bellek yetersizliği nedeniyle işlemin sonlandırılmasına yol açarak), bu da hizmet reddi (DoS) durumuna olanak tanır. Ayrıştırma işlemi tembeldir (lazy), ancak maliyet ilk `getAllParts()` çağrısında veya içerik okumasında ortaya çıkar. Bu sorun 4.0.2 ve 3.0.6 sürümlerinde düzeltilmiştir. Düzeltmeler; çok parçalı (multipart) iç içe geçme derinliğine ve başlık sayısı / toplam başlık boyutuna yapılandırılabilir sınırlar ekler (eşik değerinin ötesinde hata fırlatmak yerine bir ayrıştırma hatası kaydeder) ve kardeş ekleme işlemini O(n) olarak değiştirir. Kullanıcıların bu sürümlerden birine (veya daha güncel bir sürüme) yükseltme yapması gerekir. 2.x sürümleri de etkilenmiştir ancak yaşam döngüleri sona erdiği (end-of-life) için yama almayacaklardır; bu sürümleri kullanan kullanıcılar düzeltilmiş bir sürüme yükseltmelidir. (2.0 öncesindeki sürümler farklı bir ayrıştırıcı kullandığından üç yolun tamamından etkilenmemektedir.) Bu maliyetler süper-lineer olduğundan, tek başına giriş bayt boyutu sınırı bunları kısıtlamaz. Yükseltme yapılana kadar, ayrıştırıcının güvenilmeyen girdilere maruz kalmasını kısıtlayın ve ayrıştırma işlemini sınırlı bir memory_limit ve yürütme süresi limiti altında çalıştırın; böylece kötü niyetli bir mesaj ana makineyi tüketmek yerine kendi isteğinde başarısız olur.