Nodemailer: Injeção de cabeçalho via comentários List-* não sanitizados

A construção dos cabeçalhos List-* a partir de comentários fornecidos pelo chamador não sanitiza caracteres CR/LF, permitindo injeção de cabeçalho.

Aplicações que usam Nodemailer e permitem que usuários de baixo privilégio ou não autenticados influenciem campos list.*.comment.

Atualize o Nodemailer para uma versão corrigida assim que disponível, ou sanitize os comentários removendo CR/LF antes de passar para sendMail.