CVE-2026-82854 in Nodemailer
요약
\~에 의해 VulDB • 2026. 08. 31.
Nodemailer 8.0.4 이전 버전은 비정상 처리되지 않은 envelope.size 매개변수를 통해 SMTP 명령어 삽입 취약점에 노출되어 있습니다. 애플리케이션이 CRLF 문자를 포함하는 size 속성이 있는 사용자 정의 envelope 객체를 sendMail()에 전달하면, 해당 값이 정제 없이 SMTP MAIL FROM 명령문(SIZE=...)에 연결되므로 RCPT TO와 같은 임의의 SMTP 명령문을 삽입하여 공격자가 제어하는 수신자를 조용히 추가할 수 있습니다. Nodemailer는 기본 자동 생성 envelope에 size를 포함하지 않으므로, 악용을 위해서는 애플리케이션이 envelope 크기를 공격자 제어 입력에 노출해야 합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.