CVE-2026-82854
Təsvir
Nodemailer 8.0.4 versiyasından əvvəlki versiyaları təmizlənməmiş envelope.size parametri vasitəsilə SMTP komanda inyeksiyasına qarşı həssasdır. Tətbiq sendMail() funksiyasına CRLF simvolları ehtiva edən size xüsusiyyətinə malik xüsusi envelope obyektini ötürdükdə, bu dəyər təmizlənmədən SMTP MAIL FROM komandasına (SIZE=... kimi) əlavə edilir və bu da hücumçunun idarə etdiyi alıcıları gizli şəkildə əlavə etmək üçün RCPT TO kimi ixtiyari SMTP komandalarının inyeksiyasına şərait yaradır. Eksploytasiya üçün tətbiqin envelope size parametrini hücumçu tərəfindən idarə olunan girişə açması tələb olunur, çünki Nodemailer standart avtomatik qurulmuş envelope strukturuna size parametrini daxil etmir.
Necə düzəltmək olar
- nodemailer8.0.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nodemailernpm | v < 8.0.4 | 8.0.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.