CVE-2026-100701

Nodemailer 5.0.0 ile 10.0.1 arasındaki sürümler, yalnızca DNS ana bilgisayarı tarafından anahtarlanan ve her önbellek girişinin çağırıcıya özel TLS servername değerini de sakladığı bir süreç genel (process-global) DNS önbelleği kullanmaktadır. İki doğrudan TLS/SMTPS taşıyıcısı (secure: true), aynı IP olmayan ana bilgisayarı farklı tls.servername değerleriyle çözümlediğinde, önbellek eşleşmesinde ilk taşıyıcının servername değeri döndürülür ve ikinci taşıyıcının açıkça yapılandırılmış değerinin üzerine yazılır; bu durum Nodemailer'ın yanlış SNI değerini göndermesine ve eş sertifikasını yanlış kimliğe göre doğrulamasına neden olur. Çok kiracılı servislerde veya SNI yönlendirmeli SMTP ağ geçitlerinde, önbelleği hazırlayabilen bir saldırgan, kurban taşıyıcının saldırganın TLS sanal ana bilgisayarına bağlanmasını sağlayabilir ve rejectUnauthorized: true olsa bile saldırganın sertifikasının kabul edilmesine yol açarak kurbanın SMTP kimlik bilgilerini ifşa edebilir. 10.0.2 sürümünde düzeltildi.