CVE-2026-92595 in Nodemailer
Resumen
por VulDB • 2026-09-17
Nodemailer (paquete npm `nodemailer`) versiones 9.1.0 y anteriores no respetan las opciones de sandbox `disableFileAccess` y `disableUrlAccess` cuando el contenido del mensaje se resuelve a través de la API pública de plugins `MailMessage.resolveContent()` utilizando la firma heredada documentada de tres argumentos `resolveContent(data, key, callback)`. Dado que `shared.resolveContent()` normaliza el argumento faltante `options` como un objeto vacío, las marcas a nivel de mensaje copiadas en `mail.data` por el constructor MailMessage se descartan, y `resolveContentValue()` omite ambas comprobaciones de control de acceso, llegando a `nmfetch(url)` o `fs.createReadStream(path)`. Como resultado, el código del plugin o la aplicación que resuelve contenido no confiable (html, texto, ruta de archivo adjunto o href) mediante esta API puede verse inducido a leer archivos locales arbitrarios o emitir solicitudes HTTP(S) salientes (server-side request forgery), burlando el sandbox habilitado por la aplicación. Las rutas internas utilizadas por `transporter.sendMail()` (`resolveAll()`, `_convertDataImages()` y la ruta de streaming MIME) no se ven afectadas. Corregido en la versión 9.1.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.