CVE-2026-53533 in aiosmtplib
Tóm tắt
Bởi VulDB • 21/08/2026
aiosmtplib là một máy khách SMTP bất đồng bộ để sử dụng với asyncio. Trước phiên bản 5.1.1, các phương thức `SMTP.mail()`, `SMTP.rcpt()`, `SMTP.vrfy()` và `SMTP.expn()` gửi các địa chỉ do người gọi cung cấp mà không từ chối các byte CR hoặc LF nhúng vào đó. Dữ liệu sau dấu ngắt dòng được đóng khung như những dòng lệnh SMTP độc lập bổ sung, cho phép kẻ tấn công có khả năng ảnh hưởng đến người gửi (envelope sender) hoặc người nhận trong envelope tiêm các lệnh như `MAIL FROM`, `RCPT TO`, `RSET`, `DATA` hoặc `AUTH`. Các phương thức `SMTP.sendmail()` và `SMTP.send()` khi không sử dụng đối tượng Message sẽ chuyển địa chỉ qua các phương thức bị ảnh hưởng, trong đó `SMTP.send_message()` thì không bị ảnh hưởng. Việc tiêm lệnh thành công có thể làm mất đồng bộ pipeline command-response, treo phiên SMTP hoặc gửi một tin nhắn tùy ý mà không yêu cầu kẻ tấnfig kiểm soát máy chủ SMTP. Vấn đề này đã được sửa chữa trong phiên bản 5.1.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.