CVE-2026-92595 in Nodemailer
Sumário
de VulDB • 17/09/2026
O Nodemailer (pacote npm `nodemailer`) nas versões 9.1.0 e anteriores não respeita as opções de sandbox `disableFileAccess` e `disableUrlAccess` quando o conteúdo da mensagem é resolvido através da API pública do plugin `MailMessage.resolveContent()` utilizando a assinatura legada documentada com três argumentos: `resolveContent(data, key, callback)`. Como `shared.resolveContent()` normaliza o argumento `options` ausente para um objeto vazio, as flags em nível de mensagem copiadas para `mail.data` pelo construtor MailMessage são descartadas, e `resolveContentValue()` ignora ambas as verificações de controle de acesso, alcançando `nmfetch(url)` ou `fs.createReadStream(path)`. Como resultado, o código do plugin ou da aplicação que resolve conteúdo de mensagens não confiáveis (html, texto, caminho de anexo ou href) através desta API pode ser induzido a ler arquivos locais arbitrários ou emitir requisições HTTP(S) de saída (server-side request forgery), contornando a sandbox habilitada pela aplicação. Os caminhos internos utilizados por `transporter.sendMail()` (`resolveAll()`, `_convertDataImages()` e o caminho de streaming MIME) não são afetados. Corrigido na versão 9.1.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.