CVE-2026-82854 in Nodemailer
Zusammenfassung
von VulDB • 31.08.2026
Nodemailer vor Version 8.0.4 ist anfällig für SMTP Command Injection durch den nicht bereinigten Parameter `envelope.size`. Wenn eine Anwendung ein benutzerdefiniertes Envelope-Objekt mit einer Size-Eigenschaft, die CRLF-Zeichen enthält, an sendMail() übergibt, wird der Wert ohne Bereinigung in das SMTP MAIL FROM-Kommando (als SIZE=...) konkateniert. Dies ermöglicht die Injektion beliebiger SMTP-Befehle wie RCPT TO, um stillschweigend vom Angreifer kontrollierte Empfänger hinzuzufügen. Die Ausnutzung erfordert, dass die Anwendung die Envelope-Größe für angreifergesteuerte Eingaben verfügbar macht, da Nodemailer in der standardmäßig automatisch erstellten Envelope keine Größe einschließt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.