CVE-2026-53533

aiosmtplib, asyncio ilə istifadə üçün nəzərdə tutulmuş asinxron SMTP klientidir. 5.1.1 versiyasından əvvəl SMTP.mail(), SMTP.rcpt(), SMTP.vrfy() və SMTP.expn() funksiyaları daxil edilmiş CR və ya LF baytlarını rədd etmədən çağırıcı tərəfindən təmin edilən ünvanları göndərir. Sətir fasiləsindən sonrakı məlumatlar əlavə müstəqil SMTP əmr sətirləri kimi formalaşdırılır ki, bu da zərərli şəxsə zərf göndərənin və ya alıcının məlumatlarına təsir edərək MAIL FROM, RCPT TO, RSET, DATA və ya AUTH kimi əmrləri inyeksiya etməyə imkan verir. Message obyektsiz SMTP.sendmail() və SMTP.send() funksiyaları ünvanları təsirlənmiş metodlar vasitəsilə ötürür, lakin SMTP.send_message() funksiyasına təsir etmir. Uğurlu inyeksiya əmr-cavab konveyerini desinxronizasiya edə bilər, SMTP instansiyasını dondura bilər və ya hücumçunun SMTP serveri üzərində nəzarəti olmadan ixtiyari mesaj göndərməyə imkan verə bilər. Bu problem 5.1.1 versiyasında düzəldilmişdir.