CVSS 9.0 以上
CVE-2026-82854
要約
Nodemailer の 8.0.4 より前のバージョンには、envelope.size パラメータが無害化されないために SMTP コマンドインジェクションが起こる脆弱性がある。size に CRLF を含むカスタム envelope オブジェクトを sendMail() に渡すと、その値が MAIL FROM コマンドの SIZE=... にそのまま連結され、RCPT TO などの任意の SMTP コマンドを挿入して攻撃者が指定した宛先を追加できる。悪用するには、アプリケーションが envelope の size を攻撃者の制御できる入力にさらしている必要があり、Nodemailer が自動生成する既定の envelope には size は含まれない。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Nodemailer
このタグの新着を RSS で受け取る: Nodemailer(使い方)
判定の理由
- CVSS 9.0 以上