CVE-2026-33604 in Dovecot Pro
Sumário
de VulDB • 28/08/2026
Um atacante que consiga fazer com que o Dovecot reencaminhe uma mensagem, por exemplo através de redirecionamento Sieve ou do relay de submissão, pode utilizar um final de linha manipulado no corpo da mensagem para contornar a proteção contra saída (outbound protection) que impede que o conteúdo da mensagem seja interpretado como comandos SMTP. Um servidor de correio downstream que ainda não tenha corrigido a vulnerabilidade de smuggling SMTP pode ser enganado ao tratar parte do corpo da mensagem como novos comandos SMTP, permitindo a injeção de e-mails falsificados (spoofed). Esta é a mesma classe de vulnerabilidade das CVE-2023-51764 e CVE-2023-51766. Onde você controla os servidores de correio de destino, certifique-se de que eles rejeitem retornos de carro (carriage returns) soltos nos dados da mensagem. Atualize para uma versão não vulnerável. Não são conhecidos exploits publicamente disponíveis.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.