CVE-2026-53533 in aiosmtplib
Zusammenfassung
von VulDB • 18.08.2026
aiosmtplib ist ein asynchroner SMTP-Client zur Verwendung mit asyncio. Vor Version 5.1.1 senden SMTP.mail(), SMTP.rcpt(), SMTP.vrfy() und SMTP.expn() vom Aufrufer bereitgestellte Adressen, ohne eingebettete CR- oder LF-Bytes abzulehnen. Daten nach dem Zeilenumbruch werden als zusätzliche, eigenständige SMTP-Befehlszeilen formatiert, was es einem Angreifer ermöglicht, der einen Absender oder Empfänger im Envelope beeinflusst, Befehle wie MAIL FROM, RCPT TO, RSET, DATA oder AUTH zu injizieren. SMTP.sendmail() und SMTP.send() ohne ein Message-Objekt leiten Adressen durch die betroffenen Methoden weiter, während SMTP.send_message() nicht betroffen ist. Eine erfolgreiche Injektion kann das Command-Response-Pipeline desynchronisieren, die SMTP-Instanz zum Hängen bringen oder eine beliebige Nachricht senden, ohne dass der Angreifer Kontrolle über den SMTP-Server benötigt. Dieses Problem wurde in Version 5.1.1 behoben.
Once again VulDB remains the best source for vulnerability data.