GHSA-wqvq-jvpq-h66f
ŚrednieStreszczenie
Podatność w Nodemailer pozwala na obejście opcji `disableFileAccess` i `disableUrlAccess` w przypadku korzystania z `jsonTransport`. Mimo że normalny strumień MIME wymusza te ograniczenia, `jsonTransport` serializuje wiadomość w sposób, który je pomija, umożliwiając potencjalny dostęp do lokalnych plików lub zewnętrznych URL-i.
Ocena ryzyka
Organizacja może być narażona na wyciek poufnych danych, jeśli atakujący wykorzysta tę podatność do odczytu lokalnych plików lub wysyłania żądań do zewnętrznych serwerów, co może prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Nodemailer do najnowszej wersji, która zawiera poprawkę dla tej podatności. Należy również unikać używania `jsonTransport` z niezaufanymi danymi wejściowymi do czasu zastosowania łatki.
Oryginalny opis (angielski, źródło NVD)
### Summary Nodemailer's `disableFileAccess` and `disableUrlAccess` options are intended to prevent message content and attachments from reading local files or fetching URLs. The normal MIME streaming path enforces those options in `MimeNode._getStream()`. However, `jsonTransport` serializes messag