CVE-2026-100699 in Nodemailer
الملخص
بحسب VulDB • 26/09/2026
Nodemailer هو مكتبة Node.js لإرسال البريد الإلكتروني. في الإصدارات >= 9.1.0 و < 10.0.9، يعالج محلل العناوين (src/addressparser) بشكل غير صحيح العناوين التي يكون الجزء المحلي فيها عبارة عن سلسلة محاطة بعلامات اقتباس وتليها تعليقات RFC 5322، مما يسمح بالاحتفاظ بذرات النطاق المفصولة بتعليقات في نهاية العنوان بعد تطبيع العنوان. على سبيل المثال، يتم تحليل الإدخال "user"@example.com(x)evil.com إلى قيمة عنوان '[email protected] evil.com'، والتي تحتوي على نص نطاق يتحكم فيه المهاجم ومفصول بمسافة حرفية. تُستخدم هذه القيمة المُحلَّلة دون تحقق صارم إضافي من المستلم عند بناء غلاف الرسالة (envelope.to في src/mime-node)، لذا يمكن قبول عنوان مستخدم مشوه/غامض ووضعه في غلاف SMTP. لم يتم تأكيد ما إذا كان هذا يؤدي إلى التسليم إلى مستخدم غير مقصود على خوادم SMTP الحقيقية. هذه المشكلة هي نوع من مشكلة تحليل تعليقات RFC 5322 التي تم معالجتها في GHSA-cc9r-2j5m-2m83، وتؤثر على مسار الكود الخاص بالجزء المحلي المحاط بعلامات اقتباس. تحتوي الإصدار 10.0.9 على إصلاح للمشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.