CVE-2026-33604 in Dovecot Pro
摘要
由 VulDB • 2026-08-28
攻击者若能利用 Dovecot 中继消息（例如通过 Sieve 重定向或提交中继），便可在消息正文中使用精心构造的行结束符，从而绕过防止将消息内容解释为 SMTP 命令的出站保护机制。尚未修复 SMTP smuggling 漏洞的下游邮件服务器可能会被诱骗，将部分消息正文视为新的 SMTP 命令，从而导致伪造电子邮件注入。此漏洞类别与 CVE-2023-51764 和 CVE-2023-51766 相同。在您可以控制接收方邮件服务器的情况下，请确保它们拒绝消息数据中的裸回车符（bare carriage returns）。请更新到非易受攻击的版本。目前已知没有公开可用的利用程序（exploits）。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.