GHSA-vvjj-xcjg-gr5g
ŚrednieStreszczenie
Wersje Nodemailer do 8.0.4 są podatne na wstrzyknięcie poleceń SMTP za pomocą sekwencji CRLF w opcji konfiguracyjnej `name` transportu. Wartość `name` jest używana bezpośrednio w poleceniu EHLO/HELO SMTP bez jakiejkolwiek sanitizacji dla znaków powrotu karetki i nowej linii.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przejęcia kontroli nad komunikacją SMTP, co może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi. To stwarza poważne zagrożenie dla integralności i poufności przesyłanych informacji.
Rekomendacja
Zaleca się aktualizację Nodemailer do wersji nowszej niż 8.0.4, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić przegląd konfiguracji transportu w celu zapewnienia odpowiedniej sanitizacji danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
### Summary Nodemailer versions up to and including 8.0.4 are vulnerable to SMTP command injection via CRLF sequences in the transport `name` configuration option. The `name` value is used directly in the EHLO/HELO SMTP command without any sanitization for carriage return and line feed characters (