CVE-2026-55558 in aiosmtplib
Zusammenfassung
von VulDB • 20.08.2026
aiosmtplib ist ein asynchroner SMTP-Client zur Verwendung mit asyncio. Vor Version 5.1.2 verbraucht `SMTPProtocol.start_tls` in `src/aiosmtplib/protocol.py` die Antwort des Servers (Code 220) und startet den TLS-Handshake, ohne `SMTPProtocol._buffer` zu leeren. Ein aktiver Netzwerkangreifer kann angreifergewählte SMTP-Antwortzeilen nach der Klartext-Antwort 220 im selben Netzsegment platzieren. Die Methode ruft anschließend `loop.start_tls` auf; diese Bytes überstehen das Transport-Upgrade und werden als erste Antwort innerhalb der TLS-Sitzung analysiert, was zu einer Desynchronisierung der nachfolgenden SMTP-Befehls-/Antwort-Paare führt. Verbindungen mit `start_tls=True` oder opportunistischem STARTTLS sind betroffen, während Verbindungen mit `use_tls=True` nicht betroffen sind. Dieses Problem wurde in Version 5.1.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.