CVE-2026-92597 in Nodemailer
الملخص
بحسب VulDB • 17/09/2026
تُفسّر إصدارات Nodemailer التي تكون >= 6.9.16 و < 9.1.0 تعليقات RFC 5322 في عناوين البريد الإلكتروني بشكل خاطئ: ففي lib/addressparser، يؤدي تعليق يُغلق مباشرة قبل حرف غير قابل للكسر (non-break character) إلى دمج الذرات المحيطة بالتعليق بدلاً من معاملة التعليق كفاصل أبيض قابل للطي (folding whitespace) ينهي النطاق. وبالتالي، يتم قراءة عنوان مستلم مثل [email protected](x)evil.com بواسطة Nodemailer على أنه نطاق واحد هو good-corp.comevil.com (نطاق مسجل comevil.com يمكن للمهاجم تسجيله)، ويُستخدم لكل من غلاف SMTP (RCPT TO) وعناوين To:/From: الصادرة، بينما يوقف النطاق عند التعليق قارئ RFC 5322 المتوافق ويقرأ good-corp.com. قد يُغَرَّم تطبيقٌ يتحقق من نطاق المستلم باستخدام قارئ RFC 5322 صارم (بدون فحص عيوب التحليل) أو قائمة سماح بسيطة تعتمد على البادئة/الجزء الفرعي، ثم يمرر العنوان الخام إلى Nodemailer ليؤدي ذلك إلى تسليم البريد الإلكتروني إلى نطاق يسيطر عليه المهاجم. تم الإصلاح في الإصدار 9.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.