CVE-2026-110869

Nodemailer od wersji 3.0.0 do 10.0.10 zawiera podatność na odmowę usługi o złożoności kwadratowej w parserze odpowiedzi klienta SMTP (SMTPConnection._onData i isPartialResponse). Złośliwy serwer SMTP lub atakujący w ścieżce może strumieniować linie kontynuacji bez linii kończącej przed uwierzytelnieniem, blokując pętlę zdarzeń Node.js i wyczerpując pamięć.

Nodemailer od wersji 3.0.0 do 10.0.10 zawiera podatność na odmowę usługi w MessageParser.parseHeaders, umożliwiającą wyczerpanie CPU przez kwadratowe rozwijanie nagłówków. Atakujący mogą dostarczyć duże listy odbiorców lub długie nagłówki rozwijające się do dziesiątek tysięcy linii kontynuacji, blokując pętlę zdarzeń Node.js podczas podpisywania DKIM.

Nodemailer od wersji 3.0.0 do 10.0.13 zawiera podatność niewłaściwej walidacji danych wejściowych w parserze adresów, który nie usuwa komentarzy RFC 5322 wewnątrz adresów w nawiasach kątowych. Atakujący mogą podać odbiorców z komentarzem w nawiasach w domenie, przez co nielegalne znaki trafiają do envelope.to i RCPT TO, powodując odrzucenie dostarczenia lub konflikty interpretacji parsera omijające listy dozwolonych domen.

Parser adresów e-mail w Nodemailer (lib/addressparser/index.js) przetwarza listę adresów oddzielonych przecinkami w czasie kwadratowym (O(n²)) w zależności od liczby adresów. Pojedynczy spreparowany ciąg adresów (np. w polach To, Cc, Bcc, From, Reply-To) może spowodować znaczne spowolnienie.

Nodemailer wyłącza weryfikację certyfikatów TLS w swoim wewnętrznym kliencie HTTPS, ustawiając rejectUnauthorized: false w pliku lib/fetch/index.js. Powoduje to, że żądania tokenów OAuth2 ufają nieprawidłowym lub samopodpisanym certyfikatom HTTPS.

Podatność w pakiecie nodemailer (npm) dotyczy wersji od 2.7.2 do 10.0.1. Szczegóły podatności nie są w pełni opisane w dostarczonym fragmencie, ale potwierdzono podatne wersje.

Opcje disableFileAccess i disableUrlAccess w Nodemailer służą jako piaskownica uniemożliwiająca niezaufanej treści wiadomości czytanie lokalnych plików lub wykonywanie żądań HTTP(S). Poprawka dla wcześniejszej podatności (GHSA-wqvq-jvpq-h66f) może być niekompletna, umożliwiając obejście zabezpieczeń.

W nodemailer v9.0.0 opcja `raw` na poziomie wiadomości omija zabezpieczenia `disableFileAccess` i `disableUrlAccess`, umożliwiając odczyt dowolnych plików oraz pełny atak SSRF (Server-Side Request Forgery) w wysyłanej wiadomości.

Podatność w Nodemailer pozwala na obejście opcji `disableFileAccess` i `disableUrlAccess` w przypadku korzystania z `jsonTransport`. Mimo że normalny strumień MIME wymusza te ograniczenia, `jsonTransport` serializuje wiadomość w sposób, który je pomija, umożliwiając potencjalny dostęp do lokalnych plików lub zewnętrznych URL-i.

Podatność w bibliotece Nodemailer umożliwia wstrzyknięcie nagłówków poprzez pole `list.*.comment`, które nie jest oczyszczane ze znaków CR (`\r`) i LF (`\n`). Atakujący może dostarczyć złośliwą wartość w tym polu, co prowadzi do fałszowania nagłówków wiadomości e-mail.