FICHE CVE

CVE-2026-90467

Publiée le 2026-09-12 · Dernière modification le 2026-09-12

🇫🇷 EN BREF

Les applications Python utilisant la bibliothèque `aiosmtplib` pour envoyer des e-mails sont affectées par une faille dans la manière dont les adresses e-mail sont validées. Un attaquant capable de fournir une adresse e-mail à votre application peut injecter des paramètres malveillants dans les commandes SMTP pour usurper l'identité de l'expéditeur ou rediriger les notifications de livraison. Cela ne nécessite ni authentification ni privilèges particuliers, mais exige que l'attaquant dispose d'un moyen de saisir une adresse e-mail falsifiée dans votre système.

CVSS 4.06.3 MOYENNE

Type de faiblesse

CWE-88

Publiée2026-09-12

Dernière modification2026-09-12

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

aiosmtplib before 5.1.3 fails to properly validate email addresses supplied by callers, allowing attackers to inject ESMTP parameters into MAIL FROM and RCPT TO command lines. Attackers can craft malicious addresses containing spaces and angle brackets to append parameters like AUTH, NOTIFY, or ORCPT to envelope commands, forging authenticated identities or forcing delivery notifications to third parties.