CVE-2026-53533 in aiosmtplib
Résumé
par VulDB • 18/08/2026
aiosmtplib est un client SMTP asynchrone conçu pour être utilisé avec asyncio. Avant la version 5.1.1, les méthodes `SMTP.mail()`, `SMTP.rcpt()`, `SMTP.vrfy()` et `SMTP.expn()` transmettent des adresses fournies par l'appelant sans rejeter les octets CR ou LF intégrés. Les données situées après le saut de ligne sont encadrées comme des lignes de commandes SMTP autonomes supplémentaires, permettant à un attaquant qui influence l'expéditeur ou le destinataire d'enveloppe (envelope) d'injecter des commandes telles que `MAIL FROM`, `RCPT TO`, `RSET`, `DATA` ou `AUTH`. Les méthodes `SMTP.sendmail()` et `SMTP.send()`, lorsqu'elles sont utilisées sans objet Message, transmettent les adresses via ces méthodes vulnérables, tandis que `SMTP.send_message()` n'est pas affectée. Une injection réussie peut désynchroniser le pipeline commande-réponse, bloquer l'instance SMTP ou envoyer un message arbitraire sans nécessiter de contrôle par l'attaquant sur le serveur SMTP. Ce problème est corrigé dans la version 5.1.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.