p PatchFirst

CVE-2026-82660

CVE-2026-82660 · Nodemailer jsonTransport bypasses disableFileAccess and disableUrlAccess

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Nodemailer before 8.0.9 fails to enforce disableFileAccess and disableUrlAccess options during message normalization in jsonTransport. Attackers can read local files or fetch URLs by supplying path or href values in message content fields, bypassing intended access controls.

CVSS 5.3 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • nodemailer

    Версии
    • ≥ 0, < 8.0.9: Затронуто (semver)
    • 8.0.9: Не затронуто (semver)

    Обновитесь до 8.0.9

  • node-nodemailer Debian:12

    Версии
    • 10.0.0+~8.0.1-1
    • 10.0.10+~8.0.1-1
    • 10.0.10+~8.0.2-1
    • 6.10.0+~6.4.17-1
    • 6.8.0+~6.4.6-1
    • 6.9.13+~6.4.14-1
    • 6.9.15+~6.4.16-1
    • 6.9.16+~6.4.16-1
    • 6.9.4+~6.4.9-1
    • 6.9.4+~6.4.9-2
    • 6.9.4+~6.4.9-3
    • 6.9.4+~6.4.9-4
    • 7.0.10+~7.0.2-1
    • 7.0.12+~7.0.5-1
    • 7.0.5+~7.0.1-1
    • 7.0.6+~7.0.1-1
    • 7.0.9+~7.0.2-1
    • 7.0.9+~7.0.2-2
    • 8.0.11+~8.0.1-1
    • 8.0.2+~7.0.11-1
    • 8.0.3+~7.0.11-1
    • 8.0.4+~7.0.11-1
    • 8.0.4+~7.0.11-2
    • 9.0.0+~8.0.1-1
    • 9.0.3+~8.0.1-1
    • 9.0.5+~8.0.1-1
    • 9.0.6+~8.0.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-nodemailer Debian:13

    Версии
    • 10.0.0+~8.0.1-1
    • 10.0.10+~8.0.1-1
    • 10.0.10+~8.0.2-1
    • 6.10.0+~6.4.17-1
    • 6.10.0+~6.4.17-1+deb13u1
    • 7.0.10+~7.0.2-1
    • 7.0.12+~7.0.5-1
    • 7.0.5+~7.0.1-1
    • 7.0.6+~7.0.1-1
    • 7.0.9+~7.0.2-1
    • 7.0.9+~7.0.2-2
    • 8.0.11+~8.0.1-1
    • 8.0.2+~7.0.11-1
    • 8.0.3+~7.0.11-1
    • 8.0.4+~7.0.11-1
    • 8.0.4+~7.0.11-2
    • 9.0.0+~8.0.1-1
    • 9.0.3+~8.0.1-1
    • 9.0.5+~8.0.1-1
    • 9.0.6+~8.0.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-nodemailer Debian:14

    Версии
    • 6.10.0+~6.4.17-1
    • 7.0.10+~7.0.2-1
    • 7.0.12+~7.0.5-1
    • 7.0.5+~7.0.1-1
    • 7.0.6+~7.0.1-1
    • 7.0.9+~7.0.2-1
    • 7.0.9+~7.0.2-2
    • 8.0.2+~7.0.11-1
    • 8.0.3+~7.0.11-1
    • 8.0.4+~7.0.11-1
    • 8.0.4+~7.0.11-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 8.0.11+~8.0.1-1

    Обновитесь до 8.0.11+~8.0.1-1

  • nodemailer npm

    Затронутые диапазоны версий
    • SEMVER: < 8.0.9

    Обновитесь до 8.0.9

  • node-nodemailer Ubuntu:20.04:LTS

    Версии
    • 6.3.0-2
    • 6.3.1-1
    • 6.4.0-1
    • 6.4.1-1
    • 6.4.2-1
    • 6.4.5-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-nodemailer Ubuntu:22.04:LTS

    Версии
    • 6.4.17-3
    • 6.7.0-1
    • 6.7.0-2
    • 6.7.1+~6.4.4-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-nodemailer Ubuntu:24.04:LTS

    Версии
    • 6.9.4+~6.4.9-2
    • 6.9.4+~6.4.9-3ubuntu1
    • 6.9.4+~6.4.9-4
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-nodemailer Ubuntu:26.04:LTS

    Версии
    • 7.0.5+~7.0.1-1
    • 7.0.9+~7.0.2-2
    • 7.0.10+~7.0.2-1
    • 7.0.12+~7.0.5-1
    • 8.0.4+~7.0.11-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →