CVE-2026-53533 in aiosmtplib
Сводка
по VulDB • 19.08.2026
aiosmtplib — это асинхронный SMTP-клиент для использования с asyncio. До версии 5.1.1 методы SMTP.mail(), SMTP.rcpt(), SMTP.vrfy() и SMTP.expn() отправляли адреса, предоставленные вызывающей стороной, без отбрасания встроенных байтов CR или LF. Данные после символа перевода строки интерпретируются как дополнительные самостоятельные команды SMTP, что позволяет атакующему, влияющему на адрес отправителя (envelope sender) или получателя в конверте, внедрять такие команды, как MAIL FROM, RCPT TO, RSET, DATA или AUTH. Методы SMTP.sendmail() и SMTP.send(), вызываемые без объекта Message, передают адреса через затронутые методы, тогда как метод SMTP.send_message() не подвержен данной уязвимости. Успешная инъекция может привести к десинхронизации конвейера команд-ответов (command-response pipeline), зависанию экземпляра SMTP или отправке произвольного сообщения без необходимости контроля атакующим над SMTP-сервером. Эта проблема исправлена в версии 5.1.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.