GHSA-268h-hp4c-crq3
ŚrednieStreszczenie
Podatność w bibliotece Nodemailer umożliwia wstrzyknięcie nagłówków poprzez pole `list.*.comment`, które nie jest oczyszczane ze znaków CR (`\r`) i LF (`\n`). Atakujący może dostarczyć złośliwą wartość w tym polu, co prowadzi do fałszowania nagłówków wiadomości e-mail.
Ocena ryzyka
Ryzyko polega na możliwości manipulacji nagłówkami e-mail, co może być wykorzystane do phishingu, omijania filtrów antyspamowych lub podszywania się pod nadawcę.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki Nodemailer do najnowszej wersji, która zawiera poprawkę usuwającą znaki CR i LF z wartości pól `list.*.comment`.
Oryginalny opis (angielski, źródło NVD)
### Summary Nodemailer constructs `List-*` headers from the caller-provided `list` message option using internally prepared header values. The `list.*.comment` field is inserted into those prepared values without removing CR (`\r`) or LF (`\n`) characters. Because prepared headers bypass the normal