Changeset 718eaeb in Klonkt

Timestamp:

08/07/2026 03:50:43 PM (5 weeks ago)

Author:

Robin <roboburr@…>

Branches:

main

Children:

1ff801d

Parents:

2956e4d

Message:

nodemailer 6 -> 9: acht adviezen weg, waaronder SMTP-injectie

De enige die npm niet binnen semver kon repareren en die wel gevaarlijk was.
Drie majors, dus met de hand en niet met --force -- die had uuid meegesleept
en dat blijft bewust staan (shaer-45y).

Wat het afsluit: SMTP-commando-injectie via envelope.size en via CRLF in de
transport-naam, bezorging op een onbedoeld domein door een interpretatie-
conflict, CRLF-injectie in List-*-headers, jsonTransport dat disableFileAccess
en disableUrlAccess omzeilt, de raw-optie die willekeurig bestandslezen en SSRF
toeliet, gebrekkige TLS-certificaatvalidatie bij het ophalen van een OAuth2-
token, en DoS in addressparser.

Het raakvlak is een bestand: src/config/mailer.js roept createTransport aan met
host/port/secure/auth en sendMail met from/to/subject/text/html. Geen enkele
test komt daar langs, dus de suite zou een breuk hier niet zien. Apart
gerookt tegen nodemailer 9: de default-import werkt nog (v9 is nog steeds CJS,
geen exports-map), de transport bouwt, en sendMail levert via jsonTransport een
bericht met text, html en het geadresseerde to-veld. Engines eist >=6.0.0, de
server draait 20.20.2.

576 tests groen. Resteert: uuid, moderate, v4 zonder buf wordt niet geraakt.

Co-Authored-By: Claude Opus 5 <noreply@…>

Files:

• package-lock.json (modified) (2 diffs)
• package.json (modified) (1 diff)

package-lock.json

@@ -28 +28 @@
         "multer": "^1.4.5-lts.1",
         "node-webpmux": "^3.2.1",
-        "nodemailer": "^6.9.15",
+        "nodemailer": "^9.0.5",
         "qrcode": "^1.5.4",
         "sanitize-html": "^2.17.3",
@@ -2010 +2010 @@
     },
     "node_modules/nodemailer": {
-      "version": "6.10.1",
-      "resolved": "https://registry.npmjs.org/nodemailer/-/nodemailer-6.10.1.tgz",
-      "integrity": "sha512-Z+iLaBGVaSjbIzQ4pX6XV41HrooLsQ10ZWPUehGmuantvzWoDVBnmsdUcOIDM1t+yPor5pDhVlDESgOMEGxhHA==",
+      "version": "9.0.5",
+      "resolved": "https://registry.npmjs.org/nodemailer/-/nodemailer-9.0.5.tgz",
+      "integrity": "sha512-wvjiKvjczmsN7U/8006JOdXubgBk2XFAbioDMbT+sM7cPs0QrhJTa6KBRX7P5REGGkDcLUz/EarWidb8G8C1jQ==",
       "license": "MIT-0",
       "engines": {

package.json

@@ -33 +33 @@
     "multer": "^1.4.5-lts.1",
     "node-webpmux": "^3.2.1",
-    "nodemailer": "^6.9.15",
+    "nodemailer": "^9.0.5",
     "qrcode": "^1.5.4",
     "sanitize-html": "^2.17.3",