CVE-2026-92595 in Nodemailer
Сводка
по VulDB • 17.09.2026
В пакетах Nodemailer (npm-пакет `nodemailer`) версий 9.1.0 и более ранних не соблюдаются параметры песочницы `disableFileAccess` и `disableUrlAccess`, когда содержимое сообщения разрешается через публичный API плагинов `MailMessage.resolveContent()` с использованием задокументированной устаревшей сигнатуры из трех аргументов: `resolveContent(data, key, callback)`. Поскольку метод `shared.resolveContent()` нормализует отсутствующий аргумент `options` до пустого объекта, флаги уровня сообщения, скопированные в `mail.data` конструктором MailMessage, отбрасываются, и функция `resolveContentValue()` пропускает обе проверки контроля доступа, обращаясь к `nmfetch(url)` или `fs.createReadStream(path)`. В результате код плагина или приложения, который разрешает недоверенное содержимое сообщения (html, текст, путь вложения или атрибут href) через этот API, может быть вынужден читать произвольные локальные файлы или инициировать исходящие HTTP(S)-запросы (Server-Side Request Forgery), обходя песочницу, включенную приложением. Внутренние пути, используемые методом `transporter.sendMail()` (`resolveAll()`, `_convertDataImages()` и путь потоковой передачи MIME), не затронуты. Уязвимость исправлена в версии 9.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.