CVE-2026-53533

Nome do Software Vulnerável e Versões Afetadas aiosmtplib versões anteriores a 5.1.1

Description O software não rejeita bytes de retorno de carro e alimentação de linha (CRLF) incorporados em endereços de e-mail. Quando um endereço fornecido pelo usuário contendo esses bytes é passado para as funções SMTP.mail(), SMTP.rcpt(), SMTP.vrfy() ou SMTP.expn(), os bytes são gravados literalmente na conexão de controle SMTP. Isso permite que um invasor realize a injeção de comandos SMTP, contrabandeando verbos SMTP arbitrários, como MAIL FROM, RCPT TO, RSET, DATA ou AUTH, na sessão. A função SMTP.sendmail() também é afetada, pois passa os endereços literalmente para SMTP.mail() e SMTP.rcpt(). Isso pode levar a uma negação de serviço ao dessincronizar o pipeline de comando/resposta, fazendo com que o cliente trave, ou permitir o envio de mensagens arbitrárias.

Recommendations Atualize para a versão 5.1.1 ou posterior. Como medida paliativa temporária, restrinja ou sanitize quaisquer dados influenciados pelo usuário passados para as funções SMTP.mail(), SMTP.rcpt(), SMTP.vrfy(), SMTP.expn() e SMTP.sendmail() para garantir que nenhum caractere CRLF esteja presente.