CVE-2026-82660

Nodemailer przed wersją 8.0.5 zawiera podatność na wstrzykiwanie komend SMTP w opcji nazwy transportu używanej w komendach EHLO/HELO. Parametr name jest konkatenowany bezpośrednio do komend SMTP bez sanityzacji znaków powrotu karetki i nowej linii, co pozwala atakującym na wstrzyknięcie dowolnych komend SMTP w celu fałszowania e-maili i ataków phishingowych.

Nodemailer przed wersją 8.0.8 wyłącza weryfikację certyfikatów TLS w pliku lib/fetch/index.js przez ustawienie rejectUnauthorized: false, co umożliwia atakującym przechwycenie żądań tokenów OAuth2. Atakujący w pozycji man-in-the-middle mogą przechwycić sekrety klienta OAuth, tokeny odświeżania i tokeny dostępu przesyłane przez skompromitowane połączenia HTTPS.

Nodemailer przed wersją 8.0.9 nie sanityzuje znaków powrotu karetki i nowej linii w polach komentarzy list, co umożliwia atakującym wstrzyknięcie dowolnych nagłówków wiadomości. Atakujący kontrolujący parametry list.*.comment może wstrzyknąć sekwencje CRLF, tworząc dodatkowe nagłówki w generowanych wiadomościach RFC822, co zmienia zachowanie klienta poczty i semantykę wiadomości.

nodemailer przed wersją 9.0.1 nie stosuje flag disableFileAccess i disableUrlAccess do opcji raw na poziomie wiadomości, co pozwala uwierzytelnionym atakującym na odczyt dowolnych plików lub przeprowadzenie ataku SSRF poprzez podanie właściwości path lub href. Atakujący mogą wykorzystać to, tworząc surowe wiadomości ze ścieżkami plików lub adresami URL, które omijają zamierzoną piaskownicę, a pobrana treść jest dostarczana w wychodzącej wiadomości do kontrolowanych przez atakującego odbiorców.

Nodemailer przed wersją 6.9.9 zawiera podatność na regular expression denial of service (ReDoS) w parsowaniu e-maili, gdy ustawiony jest parametr attachDataUrls lub podczas przetwarzania osadzonych załączników. Atakujący mogą wysyłać specjalnie spreparowane e-maile ze złośliwymi adresami URL danych lub osadzonymi załącznikami, powodując zawieszenie pętli zdarzeń i odmowę usługi.

W nodemailer v9.0.0 opcja `raw` na poziomie wiadomości omija zabezpieczenia `disableFileAccess` i `disableUrlAccess`, umożliwiając odczyt dowolnych plików oraz pełny atak SSRF (Server-Side Request Forgery) w wysyłanej wiadomości.

Podatność w Nodemailer pozwala na obejście opcji `disableFileAccess` i `disableUrlAccess` w przypadku korzystania z `jsonTransport`. Mimo że normalny strumień MIME wymusza te ograniczenia, `jsonTransport` serializuje wiadomość w sposób, który je pomija, umożliwiając potencjalny dostęp do lokalnych plików lub zewnętrznych URL-i.

Podatność w bibliotece Nodemailer umożliwia wstrzyknięcie nagłówków poprzez pole `list.*.comment`, które nie jest oczyszczane ze znaków CR (`\r`) i LF (`\n`). Atakujący może dostarczyć złośliwą wartość w tym polu, co prowadzi do fałszowania nagłówków wiadomości e-mail.

Nodemailer wyłącza weryfikację certyfikatów TLS w swoim wewnętrznym kliencie HTTPS, ustawiając rejectUnauthorized: false w pliku lib/fetch/index.js. Powoduje to, że żądania tokenów OAuth2 ufają nieprawidłowym lub samopodpisanym certyfikatom HTTPS.

Nodemailer przed wersją 8.0.4 jest podatny na wstrzykiwanie komend SMTP przez niesanityzowany parametr envelope.size. Gdy aplikacja przekazuje niestandardowy obiekt envelope z właściwością size zawierającą znaki CRLF do sendMail(), wartość jest konkatenowana do komendy SMTP MAIL FROM (jako SIZE=...) bez sanityzacji, co pozwala na wstrzyknięcie dowolnych komend SMTP, takich jak RCPT TO, w celu cichego dodania adresatów kontrolowanych przez atakującego.