p PatchFirst

CVE-2026-82661

CVE-2026-82661 · Nodemailer CRLF Injection via List-* Header Comments

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Nodemailer before 8.0.9 fails to sanitize carriage return and line feed characters in list comment fields, allowing attackers to inject arbitrary message headers. An attacker with control over list.*.comment parameters can inject CRLF sequences to create additional headers in generated RFC822 messages, altering mail client behavior and message semantics.

CVSS 5.3 · Media · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • nodemailer

    Versiones
    • ≥ 0, < 8.0.9: Afectada (semver)
    • 8.0.9: No afectada (semver)

    Actualiza a 8.0.9

  • node-nodemailer Debian:12

    Versiones
    • 10.0.0+~8.0.1-1
    • 10.0.10+~8.0.1-1
    • 10.0.10+~8.0.2-1
    • 6.10.0+~6.4.17-1
    • 6.8.0+~6.4.6-1
    • 6.9.13+~6.4.14-1
    • 6.9.15+~6.4.16-1
    • 6.9.16+~6.4.16-1
    • 6.9.4+~6.4.9-1
    • 6.9.4+~6.4.9-2
    • 6.9.4+~6.4.9-3
    • 6.9.4+~6.4.9-4
    • 7.0.10+~7.0.2-1
    • 7.0.12+~7.0.5-1
    • 7.0.5+~7.0.1-1
    • 7.0.6+~7.0.1-1
    • 7.0.9+~7.0.2-1
    • 7.0.9+~7.0.2-2
    • 8.0.11+~8.0.1-1
    • 8.0.2+~7.0.11-1
    • 8.0.3+~7.0.11-1
    • 8.0.4+~7.0.11-1
    • 8.0.4+~7.0.11-2
    • 9.0.0+~8.0.1-1
    • 9.0.3+~8.0.1-1
    • 9.0.5+~8.0.1-1
    • 9.0.6+~8.0.1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-nodemailer Debian:13

    Versiones
    • 10.0.0+~8.0.1-1
    • 10.0.10+~8.0.1-1
    • 10.0.10+~8.0.2-1
    • 6.10.0+~6.4.17-1
    • 6.10.0+~6.4.17-1+deb13u1
    • 7.0.10+~7.0.2-1
    • 7.0.12+~7.0.5-1
    • 7.0.5+~7.0.1-1
    • 7.0.6+~7.0.1-1
    • 7.0.9+~7.0.2-1
    • 7.0.9+~7.0.2-2
    • 8.0.11+~8.0.1-1
    • 8.0.2+~7.0.11-1
    • 8.0.3+~7.0.11-1
    • 8.0.4+~7.0.11-1
    • 8.0.4+~7.0.11-2
    • 9.0.0+~8.0.1-1
    • 9.0.3+~8.0.1-1
    • 9.0.5+~8.0.1-1
    • 9.0.6+~8.0.1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-nodemailer Debian:14

    Versiones
    • 6.10.0+~6.4.17-1
    • 7.0.10+~7.0.2-1
    • 7.0.12+~7.0.5-1
    • 7.0.5+~7.0.1-1
    • 7.0.6+~7.0.1-1
    • 7.0.9+~7.0.2-1
    • 7.0.9+~7.0.2-2
    • 8.0.2+~7.0.11-1
    • 8.0.3+~7.0.11-1
    • 8.0.4+~7.0.11-1
    • 8.0.4+~7.0.11-2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 8.0.11+~8.0.1-1

    Actualiza a 8.0.11+~8.0.1-1

  • nodemailer npm

    Intervalos de versiones afectados
    • SEMVER: < 8.0.9

    Actualiza a 8.0.9

  • node-nodemailer Ubuntu:20.04:LTS

    Versiones
    • 6.3.0-2
    • 6.3.1-1
    • 6.4.0-1
    • 6.4.1-1
    • 6.4.2-1
    • 6.4.5-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-nodemailer Ubuntu:22.04:LTS

    Versiones
    • 6.4.17-3
    • 6.7.0-1
    • 6.7.0-2
    • 6.7.1+~6.4.4-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-nodemailer Ubuntu:24.04:LTS

    Versiones
    • 6.9.4+~6.4.9-2
    • 6.9.4+~6.4.9-3ubuntu1
    • 6.9.4+~6.4.9-4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-nodemailer Ubuntu:26.04:LTS

    Versiones
    • 7.0.5+~7.0.1-1
    • 7.0.9+~7.0.2-2
    • 7.0.10+~7.0.2-1
    • 7.0.12+~7.0.5-1
    • 8.0.4+~7.0.11-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →