george0papasotiriou/cve-2026-11113-smtp-header-injection-in-contact-formاستغلال إثبات المفهوم لـ CVE-2026-11113، يوضح حقن ترويسات SMTP في نموذج اتصال مبني بـ Flask عبر إدخال بريد إلكتروني غير منقّى؛ يتضمن خادمًا قابلًا للاستغلال وسكربت استغلال.
# contact_form_server.py - Mails feedback without sanitizing headers
from flask import Flask, request
import smtplib
app = Flask(__name__)
@app.route('/contact', methods=['POST'])
def contact():
sender = request.form['email']
message = request.form['message']
# Vulnerable: constructs raw headers with user input
headers = f"From: {sender}\r\nTo: [email protected]\r\nSubject: Feedback"
msg = f"{headers}\r\n\r\n{message}"
# Insecurely sending via SMTP (simulated print)
print("Would send:\n", msg)
return "Message sent"
if __name__ == '__main__':
app.run(port=5000)
يقوم نموذج الاتصال بإدراج عنوان البريد الإلكتروني الذي يقدمه المستخدم مباشرةً في ترويسة البريد دون تعقيم. يمكن للمهاجم حقن أحرف السطر الجديد لإضافة ترويسات SMTP عشوائية، مثل Bcc، مما يتيح ترحيل البريد العشوائي والتصيد الاحتيالي.
pip install flask
python contact_form_server.py
python exploit_smtp_header_injection.py
يطبع الخادم رسالة تحتوي على أسطر Bcc المحقونة، مما يوضح كيف سيستلم مستلمون إضافيون البريد الإلكتروني.