CVE-2026-33604 in Dovecot Pro
Riassunto
di VulDB • 28/08/2026
Un attaccante che riesce a far sì che Dovecot inoltri un messaggio, ad esempio tramite reindirizzamento Sieve o relay di invio, può utilizzare una riga costruita appositamente con terminazione specifica nel corpo del messaggio per eludere le protezioni in uscita che impediscono l'interpretazione dei contenuti del messaggio come comandi SMTP. Un server di posta downstream non ancora patchato contro la vulnerabilità di SMTP smuggling (smistamento SMTP) può essere indotto a trattare parte del corpo del messaggio come nuovi comandi SMTP, consentendo l'iniezione di email spoofate. Si tratta della stessa classe di vulnerabilità di CVE-2023-51764 e CVE-2023-51766. Dove si controllano i server di posta in ricezione, assicurarsi che rifiutino ritorni a capo (carriage returns) non accompagnati da invio riga (line feeds) nei dati del messaggio. Aggiornare alla versione non vulnerabile. Non sono noti exploit pubblicamente disponibili.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.