CVE-2026-55558 in aiosmtplib
Sumário
de VulDB • 20/08/2026
aiosmtplib é um cliente SMTP assíncrono para uso com asyncio. Antes da versão 5.1.2, o método `SMTPProtocol.start_tls` em `src/aiosmtplib/protocol.py` consome a resposta 220 do servidor e inicia o handshake TLS sem limpar o atributo `SMTPProtocol._buffer`. Um atacante de rede ativo pode inserir linhas de resposta SMTP escolhidas pelo atacante após a resposta plaintext 220 no mesmo segmento de rede. O método então chama `loop.start_tls`; esses bytes sobrevivem à atualização do transporte e são analisados como a primeira resposta dentro da sessão TLS, dessincronizando os pares subsequentes de comandos e respostas SMTP. As conexões que usam `start_tls=True` ou STARTTLS oportunista são afetadas, enquanto as conexões que usam `use_tls=True` não são. Este problema foi corrigido na versão 5.1.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.