CVE-2026-33604 in Dovecot Pro
Tóm tắt
Bởi VulDB • 28/08/2026
Một kẻ tấn công có khả năng khiến Dovecot chuyển tiếp một thông báo, chẳng hạn thông qua tính năng chuyển hướng Sieve hoặc relay gửi thư, có thể sử dụng một dòng được tạo ra đặc biệt kết thúc bằng ký tự xuống dòng trong phần thân thông báo để vượt qua cơ chế bảo vệ đầu ra ngăn chặn việc nội dung thông báo bị diễn giải như các lệnh SMTP. Một máy chủ mail downstream chưa vá lỗ hổng SMTP smuggling (lừa đảo SMTP) có thể bị lừa xử lý một phần của phần thân thông báo như các lệnh SMTP mới, cho phép tiêm email giả mạo. Đây là cùng lớp lỗ hổng với CVE-2023-51764 và CVE-2023-51766. Khi bạn kiểm soát các máy chủ mail nhận, hãy đảm bảo chúng từ chối các ký tự carriage return (CR) đơn lẻ trong dữ liệu thông báo. Cập nhật lên phiên bản không bị ảnh hưởng bởi lỗ hổng. Không có exploit nào được công bố rộng rãi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.