CVE-2026-53533 in aiosmtplib
要約
〜によって VulDB • 2026年08月18日
aiosmtplibはasyncioで使用するための非同期SMTPクライアントです。バージョン5.1.1より前では、SMTP.mail()、SMTP.rcpt()、SMTP.vrfy()、およびSMTP.expn()が、埋め込まれたCRまたはLFバイトを拒否せずに呼び出し元から提供されたアドレスを送信していました。改行後のデータは追加のスタンドアロンなSMTPコマンドラインとしてフレーム化されるため、エンベロープ送信者または宛先に影響を与える攻撃者は、MAIL FROM、RCPT TO、RSET、DATA、AUTHなどのコマンドをインジェクトできます。MessageオブジェクトなしでSMTP.sendmail()およびSMTP.send()を使用すると、アドレスは影響を受けるメソッドを通じて渡されますが、SMTP.send_message()には影響がありません。成功したインジェクションにより、コマンドレスポンスパイプラインの同期が外れ、SMTPインスタンスがハングしたり、攻撃者がSMTPサーバーを制御しなくても任意のメッセージを送信できたりする可能性があります。この問題はバージョン5.1.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.