CVE-2026-53533

aiosmtplib, asyncio ile kullanım için eşzamansız bir SMTP istemcisidir. 5.1.1 öncesinde, SMTP.mail(), SMTP.rcpt(), SMTP.vrfy() ve SMTP.expn() çağıran tarafından sağlanan adresleri gömülü CR veya LF baytlarını reddetmeden gönderir. Satır sonundan sonraki veriler ek bağımsız SMTP komut satırları olarak çerçevelenir ve zarf göndericisini veya alıcısını etkileyen bir saldırganın MAIL FROM, RCPT TO, RSET, DATA veya AUTH gibi komutları enjekte etmesine olanak tanır. SMTP.sendmail() ve Message nesnesi olmadan SMTP.send() adresleri etkilenen yöntemlerden geçirirken, SMTP.send_message() etkilenmez. Başarılı enjeksiyon, komut-yanıt ardışık düzenini eşitlemesini bozabilir, SMTP örneğini askıda bırakabilir veya saldırganın SMTP sunucusunu kontrol etmesini gerektirmeden rastgele bir ileti gönderebilir. Bu sorun 5.1.1 sürümünde düzeltilmiştir.