6.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
aiosmtplib before 5.1.3 fails to properly validate email addresses supplied by callers, allowing attackers to inject ESMTP parameters into MAIL FROM and RCPT TO command lines. Attackers can craft malicious addresses containing spaces and angle brackets to append parameters like AUTH, NOTIFY, or ORCPT to envelope commands, forging authenticated identities or forcing delivery notifications to third parties.
Засегнати продукти
- cole aiosmtplib: преди 5.1.3; 5.1.3
Вид слабост
История
- 12 септември 2026 Публикувано
Други уязвимости в cole aiosmtplib
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-90467
- https://nvd.nist.gov/vuln/detail/CVE-2026-90467
- https://github.com/cole/aiosmtplib/commit/2e1b210714974ccc9efd0d09a8f846cb9aeaaec2
- https://github.com/cole/aiosmtplib/releases/tag/v5.1.3
- https://github.com/cole/aiosmtplib/blob/v5.1.2/src/aiosmtplib/email.py
- https://github.com/cole/aiosmtplib
- https://www.vulncheck.com/advisories/aiosmtplib-before-5.1.3-esmtp-parameter-injection-via-unvalidated-addresses