CVE-2026-82854
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 80 - wyżej niż 80% wszystkich znanych CVE
Streszczenie
Nodemailer przed wersją 8.0.4 jest podatny na wstrzykiwanie komend SMTP przez niesanityzowany parametr envelope.size. Gdy aplikacja przekazuje niestandardowy obiekt envelope z właściwością size zawierającą znaki CRLF do sendMail(), wartość jest konkatenowana do komendy SMTP MAIL FROM (jako SIZE=...) bez sanityzacji, co pozwala na wstrzyknięcie dowolnych komend SMTP, takich jak RCPT TO, w celu cichego dodania adresatów kontrolowanych przez atakującego.
Ocena ryzyka
Ryzyko wysyłania wiadomości e-mail do nieautoryzowanych odbiorców, co może prowadzić do wycieku informacji lub wykorzystania serwera do phishingu.
Rekomendacja
Zaktualizuj Nodemailer do wersji 8.0.4 lub nowszej oraz upewnij się, że aplikacja nie przekazuje danych kontrolowanych przez atakującego do parametru envelope.size.
Inne podatności w Nodemailer
Zobacz wszystkie- CVE-2026-110872Średnie
Nodemailer od wersji 3.0.0 do 10.0.10 zawiera podatność na odmowę usługi o złożoności kwadratowej w parserze odpowiedzi klienta SMTP (SMTPConnection._onData i isPartialResponse). Złośliwy serwer SMTP lub atakujący w ścieżce może strumieniować linie kontynuacji bez linii kończącej przed uwierzytelnieniem, blokując pętlę zdarzeń Node.js i wyczerpując pamięć.
- CVE-2026-110871Średnie
Nodemailer od wersji 3.0.0 do 10.0.10 zawiera podatność na odmowę usługi w MessageParser.parseHeaders, umożliwiającą wyczerpanie CPU przez kwadratowe rozwijanie nagłówków. Atakujący mogą dostarczyć duże listy odbiorców lub długie nagłówki rozwijające się do dziesiątek tysięcy linii kontynuacji, blokując pętlę zdarzeń Node.js podczas podpisywania DKIM.
- CVE-2026-110870Średnie
Nodemailer od wersji 3.0.0 do 10.0.13 zawiera podatność niewłaściwej walidacji danych wejściowych w parserze adresów, który nie usuwa komentarzy RFC 5322 wewnątrz adresów w nawiasach kątowych. Atakujący mogą podać odbiorców z komentarzem w nawiasach w domenie, przez co nielegalne znaki trafiają do envelope.to i RCPT TO, powodując odrzucenie dostarczenia lub konflikty interpretacji parsera omijające listy dozwolonych domen.
- CVE-2026-110869Wysokie
Nodemailer w wersjach od 3.0.0 do 10.0.13 zawiera podatność typu regular expression denial of service w metodzie SMTPConnection._actionEHLO. Złośliwy lub pośredniczący serwer SMTP może odpowiedzieć na EHLO ciągiem 250-AUTH z długim ciągiem białych znaków i niedopasowanym tokenem, blokując pętlę zdarzeń Node.js na dziesiątki sekund lub godziny przed uwierzytelnieniem.
- GHSA-r7g4-qg5f-qqm2Średnie
Nodemailer wyłącza weryfikację certyfikatów TLS w swoim wewnętrznym kliencie HTTPS, ustawiając rejectUnauthorized: false w pliku lib/fetch/index.js. Powoduje to, że żądania tokenów OAuth2 ufają nieprawidłowym lub samopodpisanym certyfikatom HTTPS.
- GHSA-8vvx-rff5-p5rqŚrednie
Podatność w pakiecie nodemailer (npm) dotyczy wersji od 2.7.2 do 10.0.1. Szczegóły podatności nie są w pełni opisane w dostarczonym fragmencie, ale potwierdzono podatne wersje.
- GHSA-8m3c-c648-2xjjŚrednie
Opcje disableFileAccess i disableUrlAccess w Nodemailer służą jako piaskownica uniemożliwiająca niezaufanej treści wiadomości czytanie lokalnych plików lub wykonywanie żądań HTTP(S). Poprawka dla wcześniejszej podatności (GHSA-wqvq-jvpq-h66f) może być niekompletna, umożliwiając obejście zabezpieczeń.
- GHSA-wqvq-jvpq-h66fŚrednie
Podatność w Nodemailer pozwala na obejście opcji `disableFileAccess` i `disableUrlAccess` w przypadku korzystania z `jsonTransport`. Mimo że normalny strumień MIME wymusza te ograniczenia, `jsonTransport` serializuje wiadomość w sposób, który je pomija, umożliwiając potencjalny dostęp do lokalnych plików lub zewnętrznych URL-i.
- GHSA-cc9r-2j5m-2m83Średnie
Parser adresów e-mail w Nodemailer traktuje komentarz RFC 5322 (w nawiasach) w domenie jako miejsce łączenia tekstu, zamiast jako białe znaki składane (CFWS), które kończą domenę. To może prowadzić do błędnego parsowania adresu, np. [email protected](x)evil.c..., umożliwiając atakującemu przekierowanie wiadomości lub obejście walidacji.
- GHSA-p6gq-j5cr-w38fWysokie
W nodemailer v9.0.0 opcja `raw` na poziomie wiadomości omija zabezpieczenia `disableFileAccess` i `disableUrlAccess`, umożliwiając odczyt dowolnych plików oraz pełny atak SSRF (Server-Side Request Forgery) w wysyłanej wiadomości.
Oryginalny opis (angielski, źródło NVD)
Nodemailer before 8.0.4 is vulnerable to SMTP command injection through the unsanitized envelope.size parameter. When an application passes a custom envelope object with a size property containing CRLF characters to sendMail(), the value is concatenated into the SMTP MAIL FROM command (as SIZE=...) without sanitization, allowing injection of arbitrary SMTP commands such as RCPT TO to silently add attacker-controlled recipients. Exploitation requires the application to expose the envelope size to attacker-controlled input, as Nodemailer does not include size in the default auto-constructed envelope.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS