CVE-2026-53533 in aiosmtplib
요약
\~에 의해 VulDB • 2026. 08. 18.
aiosmtplib은 asyncio와 함께 사용하기 위한 비동기식 SMTP 클라이언트입니다. 버전 5.1.1 이전에서는 SMTP.mail(), SMTP.rcpt(), SMTP.vrfy() 및 SMTP.expn() 메서드가 호출자가 제공한 주소에 임베드된 CR 또는 LF 바이트를 거부하지 않고 전송합니다. 줄바꿈 이후의 데이터는 추가적인 독립형 SMTP 명령줄로 프레임 처리되므로, 엔벨롭 송신자나 수신자에 영향을 미칠 수 있는 공격자는 MAIL FROM, RCPT TO, RSET, DATA 또는 AUTH와 같은 명령을 주입할 수 있습니다. Message 객체 없이 호출되는 SMTP.sendmail() 및 SMTP.send()는 주소에 대해 영향받는 메서드를 통해 처리하는 반면, SMTP.send_message()는 영향을 받지 않습니다. 성공적인 주입은 명령-응답 파이프라인의 동기화를 해제하거나 SMTP 인스턴스를 중단시키거나, 공격자가 SMTP 서버를 제어하지 않아도 임의의 메시지를 전송할 수 있게 합니다. 이 문제는 버전 5.1.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.