CVE-2026-82854
Açıklama
8.0.4 öncesindeki Nodemailer, temizlenmemiş envelope.size parametresi üzerinden SMTP komut enjeksiyonuna karşı savunmasızdır. Bir uygulama, sendMail() fonksiyonuna CRLF karakterleri içeren bir size özelliğine sahip özel bir envelope nesnesi ilettiğinde, bu değer herhangi bir temizleme işlemi yapılmadan SMTP MAIL FROM komutuna (SIZE=... şeklinde) eklenir; bu durum, saldırgan tarafından kontrol edilen alıcıları gizlice eklemek için RCPT TO gibi rastgele SMTP komutlarının enjekte edilmesine olanak tanır. İstismar edilmesi için uygulamanın envelope size değerini saldırgan kontrollü girdilere açık hale getirmesi gerekir, çünkü Nodemailer varsayılan olarak otomatik oluşturulan envelope yapısına size bilgisini dahil etmez.
Nasıl düzeltilir
- nodemailer8.0.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodemailernpm | v < 8.0.4 | 8.0.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.