CVE-2026-115774
Beschrijving NL
Twisted is een op gebeurtenissen gebaseerd framework voor internettoepassingen, dat Python 3.6 en hoger ondersteunt. Vóór versie 26.10.0rc1 bereikte twisted.mail.imap4.IMAP4Server de functie twisted.mail.imap4.parseNestedParens met een negatieve letterlijke grootte in een geauthenticeerde SEARCH-opdracht nadat de client de status 'geselecteerde mailbox' had bereikt. De negatieve grootte verplaatste de parsercursor onder nul, en de negatieve indexering van Python voorkwam dat de synchrone scanlus werd beëindigd. De lus bevriest de single-threaded reactor, waardoor andere IMAP-verbindingen en alle SMTP- of POP3-services die in hetzelfde proces worden gehost, worden gestopt totdat de reactor opnieuw wordt opgestart. Dit probleem is verholpen in versie 26.10.0rc1.
Origineel (Engels) tonen
Twisted is an event-based framework for internet applications, supporting Python 3.6+. Prior to 26.10.0rc1, twisted.mail.imap4.IMAP4Server reaches twisted.mail.imap4.parseNestedParens with a negative literal size in an authenticated SEARCH command after the client enters the selected mailbox state. The negative size moves the parser cursor below zero, and Python's negative indexing prevents the synchronous scanning loop from terminating. The loop freezes the single-threaded reactor, stopping other IMAP connections and any SMTP or POP3 services hosted in the same process until restart. This issue is fixed in version 26.10.0rc1.