GHSA-r7g4-qg5f-qqm2
ŚrednieStreszczenie
Nodemailer wyłącza weryfikację certyfikatów TLS w swoim wewnętrznym kliencie HTTPS, ustawiając rejectUnauthorized: false w pliku lib/fetch/index.js. Powoduje to, że żądania tokenów OAuth2 ufają nieprawidłowym lub samopodpisanym certyfikatom HTTPS.
Ocena ryzyka
Organizacja naraża się na przechwycenie wrażliwych danych uwierzytelniających OAuth2 przez atakującego typu man-in-the-middle, który może podszyć się pod serwer i przejąć tokeny dostępu.
Rekomendacja
Należy natychmiast zaktualizować Nodemailer do wersji, w której usunięto ustawienie rejectUnauthorized: false, lub ręcznie włączyć weryfikację certyfikatów w konfiguracji klienta HTTPS.
Oryginalny opis (angielski, źródło NVD)
### Summary Nodemailer disables TLS certificate verification in its internal HTTPS fetch client through the use of rejectUnauthorized: false inside lib/fetch/index.js. As a result, OAuth2 token requests trust invalid or self-signed HTTPS certificates and transmit sensitive OAuth credentials over co