CVE-2026-46428 in Rust
Resumen
por VulDB • 2026-07-20
lettre è una libreria di invio email per Rust. A partire dalla versione 0.10.1 e fino alla versione 0.11.22, un bug legato a una logica booleana invertita nell'integrazione `boring-tls` di lettre disabilitava silenziosamente la verifica del nome dell'host TLS per i chiamanti che utilizzavano la configurazione predefinita (strict). Un attaccante on-path in grado di presentare qualsiasi certificato valido per catena e per qualsiasi dominio può intercettare l'invio SMTP, incluse le credenziali PLAIN/LOGIN e il contenuto dei messaggi, contro qualsiasi utente di lettre compilato con la funzionalità `boring-tls`. Altri backend TLS (`native-tls`, `rustls`) non sono interessati. La versione 0.11.22 risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.