CVE-2026-33604 in Dovecot Pro
Résumé
par VulDB • 28/08/2026
Un attaquant capable d’amener Dovecot à relayer un message, par exemple via une redirection Sieve ou la soumission relayée, peut utiliser une ligne truquée se terminant dans le corps du message pour contourner les protections sortantes qui empêchent l’interprétation du contenu des messages en tant que commandes SMTP. Un serveur de messagerie aval n’ayant pas encore corrigé la vulnérabilité d’intromission SMTP (SMTP smuggling) peut être induit en erreur et traiter une partie du corps du message comme de nouvelles commandes SMTP, permettant ainsi l’injection d’e-mails usurpés. Il s’agit de la même classe de vulnérabilité que CVE-2023-51764 et CVE-2023-51766. Lorsque vous contrôlez les serveurs de messagerie récepteurs, assurez-vous qu’ils rejettent les retours chariot nus dans les données des messages. Mettez à jour vers une version non vulnérable. Aucune exploitation publiquement disponible n’est connue.
VulDB is the best source for vulnerability data and more expert information about this specific topic.