CVE-2026-57511

ŚrednieCVSS 5.4

Opublikowano: 28/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 29/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

SuperPlane przed wersją 0.30.0 zawiera podatność na wstrzykiwanie nagłówków SMTP, która pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnych nagłówków SMTP poprzez umieszczenie sekwencji CRLF w polu tytułu zdarzenia payload dostarczonego przez webhook. Atakujący mogą manipulować niesanityzowanym polem tytułu przekazanym do polecenia SMTP DATA, aby dodać odbiorców Bcc w celu eksfiltracji treści, sfałszować adres From w celu ominięcia kontroli SPF i DKIM lub wstrzyknąć nagłówki Content-Type i MIME boundary w celu zniekształcenia treści wiadomości do phishingu.

Ocena ryzyka

Nieuwierzytelniony atakujący może wysyłać fałszywe wiadomości e-mail, kraść treści lub przeprowadzać ataki phishingowe, co może narazić organizację na straty reputacyjne i finansowe.

Rekomendacja

Zaleca się aktualizację do wersji 0.30.0 lub nowszej, która zawiera poprawkę.

Inne podatności w SuperPlane

CVE-2026-57510Wysokie
SuperPlane przed wersją 0.27.0 zawiera podatność uszkodzonej autoryzacji na poziomie obiektu w procedurach gRPC CanvasService. Uwierzytelnieni użytkownicy z dostępem na poziomie widza do jednej organizacji mogą uzyskać dostęp do zasobów innych organizacji, podając dowolne identyfikatory UUID canvas lub kolejki bez ograniczeń zakresu organizacji. Atakujący mogą odczytywać historię wykonywania i ładunki zdarzeń zawierające poufne sekrety, zapisywać elementy kolejki i zdarzenia canvas w ofiarach, usuwać dowolne canvasy oraz zakłócać przepływy automatyzacji między dzierżawcami.

Oryginalny opis (angielski, źródło NVD)

SuperPlane before 0.30.0 contains an SMTP header injection vulnerability that allows unauthenticated attackers to inject arbitrary SMTP headers by including CRLF sequences in the event payload title field delivered via webhook. Attackers can manipulate the unsanitized title field passed to the SMTP DATA command to add Bcc recipients for content exfiltration, forge the From address to bypass SPF and DKIM checks, or inject Content-Type and MIME boundary headers to corrupt message bodies for phishing.