CVE-2026-82854
CVE-2026-82854 · Nodemailer before 8.0.3 SMTP Command Injection via envelope.size
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Nodemailer before 8.0.4 is vulnerable to SMTP command injection through the unsanitized envelope.size parameter. When an application passes a custom envelope object with a size property containing CRLF characters to sendMail(), the value is concatenated into the SMTP MAIL FROM command (as SIZE=...) without sanitization, allowing injection of arbitrary SMTP commands such as RCPT TO to silently add attacker-controlled recipients. Exploitation requires the application to expose the envelope size to attacker-controlled input, as Nodemailer does not include size in the default auto-constructed envelope.
CVSS 9.3 · Crítica · EPSS 2,0% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · node
Productos y versiones afectados
nodemailer
- Versiones
- ≥ 0, < 8.0.3: Afectada (semver)
- 8.0.3: No afectada (semver)
Actualiza a 8.0.3
node-nodemailer Debian:12
- Versiones
- 10.0.0+~8.0.1-1
- 10.0.10+~8.0.1-1
- 10.0.10+~8.0.2-1
- 10.0.13+~8.0.2-1
- 10.0.14+~8.0.2-1
- 6.10.0+~6.4.17-1
- 6.8.0+~6.4.6-1
- 6.9.13+~6.4.14-1
- 6.9.15+~6.4.16-1
- 6.9.16+~6.4.16-1
- 6.9.4+~6.4.9-1
- 6.9.4+~6.4.9-2
- 6.9.4+~6.4.9-3
- 6.9.4+~6.4.9-4
- 7.0.10+~7.0.2-1
- 7.0.12+~7.0.5-1
- 7.0.5+~7.0.1-1
- 7.0.6+~7.0.1-1
- 7.0.9+~7.0.2-1
- 7.0.9+~7.0.2-2
- 8.0.11+~8.0.1-1
- 8.0.2+~7.0.11-1
- 8.0.3+~7.0.11-1
- 8.0.4+~7.0.11-1
- 8.0.4+~7.0.11-2
- 9.0.0+~8.0.1-1
- 9.0.3+~8.0.1-1
- 9.0.5+~8.0.1-1
- 9.0.6+~8.0.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Debian:13
- Versiones
- 10.0.0+~8.0.1-1
- 10.0.10+~8.0.1-1
- 10.0.10+~8.0.2-1
- 10.0.13+~8.0.2-1
- 10.0.14+~8.0.2-1
- 6.10.0+~6.4.17-1
- 6.10.0+~6.4.17-1+deb13u1
- 7.0.10+~7.0.2-1
- 7.0.12+~7.0.5-1
- 7.0.5+~7.0.1-1
- 7.0.6+~7.0.1-1
- 7.0.9+~7.0.2-1
- 7.0.9+~7.0.2-2
- 8.0.11+~8.0.1-1
- 8.0.2+~7.0.11-1
- 8.0.3+~7.0.11-1
- 8.0.4+~7.0.11-1
- 8.0.4+~7.0.11-2
- 9.0.0+~8.0.1-1
- 9.0.3+~8.0.1-1
- 9.0.5+~8.0.1-1
- 9.0.6+~8.0.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Debian:14
- Versiones
- 6.10.0+~6.4.17-1
- 7.0.10+~7.0.2-1
- 7.0.12+~7.0.5-1
- 7.0.5+~7.0.1-1
- 7.0.6+~7.0.1-1
- 7.0.9+~7.0.2-1
- 7.0.9+~7.0.2-2
- 8.0.2+~7.0.11-1
- 8.0.3+~7.0.11-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 8.0.4+~7.0.11-1
Actualiza a 8.0.4+~7.0.11-1
nodemailer npm
- Intervalos de versiones afectados
- SEMVER: < 8.0.4
Actualiza a 8.0.4
node-nodemailer Ubuntu:20.04:LTS
- Versiones
- 6.3.0-2
- 6.3.1-1
- 6.4.0-1
- 6.4.1-1
- 6.4.2-1
- 6.4.5-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Ubuntu:22.04:LTS
- Versiones
- 6.4.17-3
- 6.7.0-1
- 6.7.0-2
- 6.7.1+~6.4.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Ubuntu:24.04:LTS
- Versiones
- 6.9.4+~6.4.9-2
- 6.9.4+~6.4.9-3ubuntu1
- 6.9.4+~6.4.9-4
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada