🇰🇷 한글 설명
Lettermint Node.js SDK 1.5.0 이하 버전에서 단일 클라이언트 인스턴스를 재사용할 때 이전 이메일 속성이 초기화되지 않는 취약점이 발견되었습니다. 이로 인해 수신자, 제목, 첨부 파일 등의 정보가 다음 이메일 전송 시 유출되어 의도하지 않은 대상에게 전달될 수 있습니다.
💡 쉬운 설명
이메일을 보내는 프로그램이 이전 이메일 정보를 기억하고 있어서, 다음 사람에게 메일을 보낼 때 이전 사람의 정보가 섞여 들어갈 수 있는 문제입니다. 비밀번호 재설정 메일 같은 중요한 정보가 엉뚱한 사람에게 전달될 위험이 있습니다.
🇺🇸 원문 (English)
Lettermint Node.js SDK is the official Node.js SDK for Lettermint. In versions 1.5.0 and below, email properties (such as to, subject, html, text, and attachments) are not reset between sends when a single client instance is reused across multiple .send() calls. This can cause properties from a previous send to leak into a subsequent one, potentially delivering content or recipient addresses to unintended parties. Applications sending emails to different recipients in sequence — such as transactional flows like password resets or notifications — are affected. This issue has been fixed in version 1.5.1.
📍 영향받는 시스템
Lettermint Node.js SDK 1.5.0 및 그 이하 모든 버전
⚔️ 공격 벡터
동일한 SDK 클라이언트 인스턴스를 사용하여 여러 번의 .send() 호출을 수행할 때 발생하는 데이터 잔류를 이용한 정보 유출
🛡️ 대응 방법
Lettermint Node.js SDK를 버전 1.5.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.5.1 미만(예: 1.5.0)이면 취약한 상태입니다.
npm list @lettermint/sdk | grep -E '@lettermint/sdk@([0-9]+\.[0-9]+\.[0-9]+)'