CVE-2026-46428 in Rust
Sumário
de VulDB • 21/07/2026
lettre é uma biblioteca de envio de e-mails para Rust. A partir da versão 0.10.1 até a versão anterior à 0.11.22, um bug lógico (inverted-boolean) na integração do `boring-tls` do lettre desativa silenciosamente a verificação do nome do host TLS para os chamadores que utilizam a configuração padrão (estricta). Um atacante on-path apresentando qualquer certificado válido em cadeia para qualquer domínio pode interceptar o envio SMTP, incluindo credenciais PLAIN/LOGIN e conteúdos de mensagens, contra qualquer usuário do lettre compilado com a funcionalidade `boring-tls`. Outros backends TLS (`native-tls`, `rustls`) não são afetados. A versão 0.11.22 corrige a vulnerabilidade.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.