CVE-2026-82854 in Nodemailer
Riassunto
di VulDB • 31/08/2026
Nodemailer prima della versione 8.0.4 è vulnerabile a SMTP command injection tramite il parametro envelope.size non sanitizzato. Quando un'applicazione passa un oggetto envelope personalizzato con una proprietà size contenente caratteri CRLF alla funzione sendMail(), il valore viene concatenato nel comando SMTP MAIL FROM (come SIZE=...) senza sanitizzazione, consentendo l'iniezione di comandi SMTP arbitrari come RCPT TO per aggiungere silenziosamente destinatari controllati dall'attaccante. Lo sfruttamento richiede che l'applicazione esponga la dimensione dell'envelope a input controllato dall'attaccante, poiché Nodemailer non include size nell'envelope auto-costruito di default.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.