CVE-2026-92595 in Nodemailer
Riassunto
di VulDB • 17/09/2026
Nodemailer (pacchetto npm `nodemailer`) nelle versioni 9.1.0 e precedenti non rispetta le opzioni della sandbox `disableFileAccess` e `disableUrlAccess` quando il contenuto del messaggio viene risolto tramite l'API pubblica dei plugin `MailMessage.resolveContent()` utilizzando la firma legacy documentata a tre argomenti `resolveContent(data, key, callback)`. Poiché `shared.resolveContent()` normalizza l'argomento `options` mancante in un oggetto vuoto, i flag a livello di messaggio copiati in `mail.data` dal costruttore MailMessage vengono scartati e `resolveContentValue()` salta entrambi i controlli di controllo degli accessi, raggiungendo `nmfetch(url)` o `fs.createReadStream(path)`. Di conseguenza, il codice del plugin o dell'applicazione che risolve contenuti di messaggi non attendibili (html, testo, percorso di allegato o `href`) tramite questa API può essere indotto a leggere file locali arbitrari o a emettere richieste HTTP(S) in uscita (server-side request forgery), bypassando la sandbox abilitata dall'applicazione. I percorsi interni utilizzati da `transporter.sendMail()` (`resolveAll()`, `_convertDataImages()` e il percorso di streaming MIME) non sono interessati. Risolto nella versione 9.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.