CVE-2026-82659

Nodemailer przed wersją 8.0.5 zawiera podatność na wstrzykiwanie komend SMTP w opcji nazwy transportu używanej w komendach EHLO/HELO. Parametr name jest konkatenowany bezpośrednio do komend SMTP bez sanityzacji znaków powrotu karetki i nowej linii, co pozwala atakującym na wstrzyknięcie dowolnych komend SMTP w celu fałszowania e-maili i ataków phishingowych.

Nodemailer przed wersją 8.0.8 wyłącza weryfikację certyfikatów TLS w pliku lib/fetch/index.js przez ustawienie rejectUnauthorized: false, co umożliwia atakującym przechwycenie żądań tokenów OAuth2. Atakujący w pozycji man-in-the-middle mogą przechwycić sekrety klienta OAuth, tokeny odświeżania i tokeny dostępu przesyłane przez skompromitowane połączenia HTTPS.

Nodemailer przed wersją 8.0.9 nie sanityzuje znaków powrotu karetki i nowej linii w polach komentarzy list, co umożliwia atakującym wstrzyknięcie dowolnych nagłówków wiadomości. Atakujący kontrolujący parametry list.*.comment może wstrzyknąć sekwencje CRLF, tworząc dodatkowe nagłówki w generowanych wiadomościach RFC822, co zmienia zachowanie klienta poczty i semantykę wiadomości.

Nodemailer przed wersją 8.0.9 nie egzekwuje opcji disableFileAccess i disableUrlAccess podczas normalizacji wiadomości w jsonTransport. Atakujący mogą odczytywać lokalne pliki lub pobierać adresy URL, podając wartości path lub href w polach treści wiadomości, omijając zamierzone kontrolki dostępu.

Nodemailer przed wersją 6.9.9 zawiera podatność na regular expression denial of service (ReDoS) w parsowaniu e-maili, gdy ustawiony jest parametr attachDataUrls lub podczas przetwarzania osadzonych załączników. Atakujący mogą wysyłać specjalnie spreparowane e-maile ze złośliwymi adresami URL danych lub osadzonymi załącznikami, powodując zawieszenie pętli zdarzeń i odmowę usługi.

Podatność w Nodemailer pozwala na obejście opcji `disableFileAccess` i `disableUrlAccess` w przypadku korzystania z `jsonTransport`. Mimo że normalny strumień MIME wymusza te ograniczenia, `jsonTransport` serializuje wiadomość w sposób, który je pomija, umożliwiając potencjalny dostęp do lokalnych plików lub zewnętrznych URL-i.

Podatność w bibliotece Nodemailer umożliwia wstrzyknięcie nagłówków poprzez pole `list.*.comment`, które nie jest oczyszczane ze znaków CR (`\r`) i LF (`\n`). Atakujący może dostarczyć złośliwą wartość w tym polu, co prowadzi do fałszowania nagłówków wiadomości e-mail.

Nodemailer wyłącza weryfikację certyfikatów TLS w swoim wewnętrznym kliencie HTTPS, ustawiając rejectUnauthorized: false w pliku lib/fetch/index.js. Powoduje to, że żądania tokenów OAuth2 ufają nieprawidłowym lub samopodpisanym certyfikatom HTTPS.

W nodemailer v9.0.0 opcja `raw` na poziomie wiadomości omija zabezpieczenia `disableFileAccess` i `disableUrlAccess`, umożliwiając odczyt dowolnych plików oraz pełny atak SSRF (Server-Side Request Forgery) w wysyłanej wiadomości.

Nodemailer przed wersją 8.0.4 jest podatny na wstrzykiwanie komend SMTP przez niesanityzowany parametr envelope.size. Gdy aplikacja przekazuje niestandardowy obiekt envelope z właściwością size zawierającą znaki CRLF do sendMail(), wartość jest konkatenowana do komendy SMTP MAIL FROM (jako SIZE=...) bez sanityzacji, co pozwala na wstrzyknięcie dowolnych komend SMTP, takich jak RCPT TO, w celu cichego dodania adresatów kontrolowanych przez atakującego.