Уязвимость BDU:2025-16482
Идентификатор: BDU:2025-16482.
Наименование уязвимости: Уязвимость метода Mailgen.generatePlaintext(email) пакета Mailgen программной платформы Node.js, позволяющая нарушителю выполнить произвольный HTML-код.
Описание уязвимости: Уязвимость метода Mailgen.generatePlaintext(email) пакета Mailgen программной платформы Node.js связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный HTML-код
Уязвимое ПО: Сетевое программное средство Node.js Foundation Node.js — | Прикладное ПО информационных систем Mailgen до 2.0.30 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 21.09.2025.
CVSS 2.0: AV:N/AC:L/Au:N/C:N/I:P/A:N
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,3)
Возможные меры по устранению:
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— использование антивирусного программного обеспечения для проверки файлов, полученных из недоверенных источников;
— использование замкнутой программной среды для работы с файлами, полученными из недоверенных источников;
— использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;
— использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
— ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет).
Использование рекомендаций производителя:
https://github.com/eladnava/mailgen/security/advisories/GHSA-j2xj-h7w5-r7vp.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2025-59526.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/eladnava/mailgen/security/advisories/GHSA-j2xj-h7w5-r7vp
https://github.com/eladnava/mailgen/commit/741a0190ddae0f408b22ae3b5f0f4c3f5cf4f11d
https://github.com/advisories/GHSA-j2xj-h7w5-r7vp
