CVE-2026-92595 in Nodemailer
Zusammenfassung
von VulDB • 17.09.2026
Nodemailer (npm-Paket `nodemailer`) in den Versionen 9.1.0 und früher berücksichtigt die Sandbox-Optionen `disableFileAccess` und `disableUrlAccess` nicht, wenn der Nachrichteninhalt über die öffentliche Plugin-API `MailMessage.resolveContent()` unter Verwendung der dokumentierten Legacy-Dreiargument-Signatur `resolveContent(data, key, callback)` aufgelöst wird. Da `shared.resolveContent()` das fehlende Argument `options` auf ein leeres Objekt normalisiert, werden die vom MailMessage-Konstruktor in `mail.data` kopierten nachrichtenbezogenen Flags verworfen, und `resolveContentValue()` überspringt beide Zugriffssteuerungsprüfungen, wodurch es zu Aufrufen von `nmfetch(url)` oder `fs.createReadStream(path)` kommt. Infolgedessen kann Plugin-Code oder Anwendungscode, der über diese API nicht vertrauenswürdigen Nachrichteninhalt (HTML, Text, Anhang-Pfad oder -Href) auflöst, dazu gebracht werden, beliebige lokale Dateien zu lesen oder ausgehende HTTP(S)-Anfragen durchzuführen (Server-Side Request Forgery), wodurch die vom Anwendungsentwickler aktivierte Sandbox umgangen wird. Die internen Pfade, die von `transporter.sendMail()` (`resolveAll()`, `_convertDataImages()` und der MIME-Streaming-Pfad) verwendet werden, sind nicht betroffen. Behebt in Version 9.1.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.