Cyber ·
CVE-2026-105241: log4net descarta lote do SmtpPickupDirAppender com conteúdo não codificável
Vulnerabilidade moderada no SmtpPickupDirAppender do Apache log4net: conteúdo que o gravador de e-mail não consegue codificar, como um par UTF-16 não pareado, pode fazer todo o lote ser descartado. Afeta versões anteriores à 3.5.0.
O aviso CVE-2026-105241, publicado no feed oss-sec por Jan Friedrich em 6 de outubro de 2026, descreve um problema de tratamento inadequado de codificação Unicode no SmtpPickupDirAppender do Apache log4net. Quando o conteúdo que o gravador de arquivos de e-mail não consegue codificar, como um par UTF-16 não pareado, chega ao appender, o lote inteiro pode ser descartado. A severidade é classificada como moderada, com CVSS 3.1 de 5.3 (média), vetor de rede, sem privilégios e sem interação do usuário, com impacto de integridade baixo e sem impacto em confidencialidade ou disponibilidade. As versões afetadas são o Apache log4net 1.2.9 até antes da 3.5.0, além de uma faixa de revisões de desenvolvimento identificadas por hash de commit, até a revisão indicada no aviso. Para verificar o original, consulte o aviso no feed oss-sec citado pela fonte e confira a versão de log4net em uso nos seus projetos.