CVE-2026-30227

Nome do Software Vulnerável e Versões Afetadas Versões do MimeKit anteriores à 4.15.1 Versões do MailKit anteriores à 4.15.1

Descrição Existe uma falha de injeção de CRLF no MimeKit e no MailKit ao manipular endereços de envelope SMTP. Especificamente, quando a parte local de um endereço é uma string entre aspas, o software falha em impedir adequadamente a inclusão de caracteres de retorno de carro e avanço de linha (r ). Esta não conformidade com a RFC 5321 permite que um atacante injete comandos SMTP, como RCPT TO, DATA e RSET, ou potencialmente injete cabeçalhos de e-mail, dependendo de como a aplicação utiliza o MailKit/MimeKit. O problema surge quando um atacante pode controlar um valor MailboxAddress que é subsequentemente serializado em uma sessão SMTP. A vulnerabilidade ocorre porque a RFC 5321 proíbe o uso de caracteres CR e LF dentro de strings entre aspas. Os componentes afetados são MimeKit 4.15.0 e MailKit 4.15.0, e qualquer aplicação que aceite entrada não confiável para endereços de remetente/destinatário, construa objetos MailboxAddress a partir dessa entrada e envie mensagens via SMTP pode ser impactada. A exploração pode levar ao redirecionamento de e-mails, exfiltração de dados, corrupção do estado da transação SMTP e, potencialmente, injeção de cabeçalho ou evasão de logs.

Recomendações Versões anteriores à 4.15.1 devem ser atualizadas para a versão 4.15.1 ou posterior. Rejeite caracteres de retorno de carro e avanço de linha (r e ) na parte local ao analisar ou construir endereços de mailbox usados para envelopes SMTP. Garanta que a análise da parte local entre aspas esteja alinhada com os intervalos qtextSMTP e quoted-pairSMTP da RFC 5321, não permitindo caracteres de controle.