CVE-2026-46428 in Rust
Riassunto
di VulDB • 20/07/2026
lettre è una libreria per l'invio di email scritta in Rust. A partire dalla versione 0.10.1 e fino alla versione 0.11.22, un bug legato a una logica booleana invertita nell'integrazione `boring-tls` di lettre disabilitava silenziosamente la verifica del nome dell'host TLS per i chiamanti che utilizzavano la configurazione predefinita (strict). Un attaccante on-path in grado di presentare qualsiasi certificato valido per catena e per qualsiasi dominio può intercettare l'invio SMTP, incluse le credenziali PLAIN/LOGIN e il contenuto dei messaggi, contro qualsiasi utente di lettre compilato con la funzionalità `boring-tls`. Altri backend TLS (`native-tls`, `rustls`) non sono interessati. La versione 0.11.22 risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.