CVE-2026-121946— mail-mime-parser 3.0.9/4.0.6 前 CRLF 头部注入漏洞

一分钟漏洞结论

复制摘要 复制引用

影响对象

zbateson mail-mime-parser

利用判断

尚无明确在野利用证据，仍需结合暴露面评估

建议动作

优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

在版本 3.0.9 之前以及 4.x 系列中 4.0.6 之前的 zbateson mail-mime-parser 存在一个 CRLF 头部注入漏洞。该漏洞源于构建消息的辅助函数未能正确剥离回车（CR）和换行（LF）字符。攻击者通过提供精心构造的 MIME 类型、字符集、编码、micalg 或协议值，可在发出的邮件中注入额外的头部行，例如伪造的 Bcc 字段。

CVE-2026-121946 影响 zbateson mail-mime-parser。尚无明确在野利用证据，仍需结合暴露面评估。在版本 3.0.9 之前以及 4.x 系列中 4.0.6 之前的 zbateson mail-mime-parser 存在一个 CRLF 头部注入漏洞。该漏洞源于构建消息的辅助函数未能正确剥离回车（CR）和换行（LF）字符。攻击者通过提供精心构造的 MIME 类型、字符集、编码、micalg 或协议值，可在发出的邮件中注入额外的头部行，例如伪造的 Bcc 字 CVE-2026-121946 漏洞详情，神龙漏洞库，https://cve.imfht.com/detail/CVE-2026-121946

一、 漏洞 CVE-2026-121946 基础信息

受影响产品

二、漏洞 CVE-2026-121946 的公开POC

三、漏洞 CVE-2026-121946 的情报信息

CVE-2026-121946 其他参考 (7)

• https://github.com/zbateson/mail-mime-parser/blob/4.0.5/src/Message/Helper/MultipartHelper.php#L270-L273 technical-description
• https://github.com/zbateson/mail-mime-parser/commit/f385b2923023a9a7b69003468e363a4661f1c85a patch
• https://github.com/zbateson/mail-mime-parser/commit/b032920875c6cb35bb2ddd7abfd7e98608d75bc0 patch
• https://github.com/zbateson/mail-mime-parser/commit/1fa840ef367958e991e6840b4e3ffd41aca9d147 patch
• https://github.com/zbateson/mail-mime-parser/commit/c31c62ccc3e66a7a7da0d79954ef83807f9daa20 patch
• https://github.com/zbateson/mail-mime-parser/security/advisories/GHSA-gmgm-r6fh-fq6g vendor-advisory
• https://www.vulncheck.com/advisories/zbateson-mail-mime-parser-before-3.0.9-and-4-x-before-4.0.6-crlf-header-injection-via-message-builders third-party-advisory

• https://www.cve.org/CVERecord?id=CVE-2026-121946

IV. Related Vulnerabilities