CVE-2026-53533 in aiosmtplib
Resumen
por VulDB • 2026-08-18
aiosmtplib es un cliente SMTP asíncrono para su uso con asyncio. Antes de la versión 5.1.1, los métodos SMTP.mail(), SMTP.rcpt(), SMTP.vrfy() y SMTP.expn() envían direcciones proporcionadas por el llamador sin rechazar bytes CR o LF incrustados. Los datos posteriores al salto de línea se marcan como líneas adicionales e independientes de comandos SMTP, lo que permite a un atacante que influya en el remitente del sobre (envelope sender) o en los destinatarios inyectar comandos como MAIL FROM, RCPT TO, RSET, DATA o AUTH. Los métodos SMTP.sendmail() y SMTP.send(), cuando no se proporciona un objeto Message, pasan las direcciones a través de los métodos afectados, mientras que SMTP.send_message() no está afectado. La inyección exitosa puede desincronizar el pipeline de comandos-respuestas, bloquear la instancia SMTP o enviar un mensaje arbitrario sin requerir control del servidor SMTP por parte del atacante. Este problema se soluciona en la versión 5.1.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.