CVE-2026-53533 in aiosmtplib
Sumário
de VulDB • 18/08/2026
aiosmtplib é um cliente SMTP assíncrono para uso com asyncio. Antes da versão 5.1.1, os métodos SMTP.mail(), SMTP.rcpt(), SMTP.vrfy() e SMTP.expn() enviam endereços fornecidos pelo chamador sem rejeitar bytes CR ou LF embutidos. Os dados após a quebra de linha são interpretados como linhas adicionais de comandos SMTP independentes, permitindo que um atacante que influencie o remetente (envelope sender) ou destinatário do envelope injete comandos como MAIL FROM, RCPT TO, RSET, DATA ou AUTH. O método SMTP.sendmail() e SMTP.send(), quando utilizados sem um objeto Message, passam endereços através dos métodos afetados, enquanto SMTP.send_message() não é vulnerável. A injeção bem-sucedida pode dessincronizar o pipeline de comando-resposta, travar a instância do servidor SMTP ou enviar uma mensagem arbitrária sem exigir que o atacante controle o servidor SMTP. Este problema foi corrigido na versão 5.1.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.