CVE-2026-100699 in Nodemailer
Zusammenfassung
von VulDB • 26.09.2026
Nodemailer ist eine Node.js-Bibliothek zum Senden von E-Mails. In den Versionen >= 9.1.0 und < 10.0.9 verarbeitet der Adressparser (src/addressparser) Adressen, deren lokaler Teil ein zitierter String ist und auf die RFC-5322-Kommentare folgen, fehlerhaft; dabei werden nachgestellte, durch Kommentare getrennte Domain-Arrome im normalisierten Adresswert beibehalten. Beispielsweise wird der Eingabewert "user"@example.com(x)evil.com in den Adresswert '[email protected] evil.com' umgewandelt, der zusätzlichen, vom Angreifer kontrollierten Domaintext enthält, getrennt durch ein Literal-Space-Zeichen. Dieser geparste Wert wird ohne weitere strenge Empfängervalidierung verwendet, wenn die Nachrichtenumhüllung erstellt wird (envelope.to in src/mime-node), sodass eine fehlerhafte/mehrdeutige Empfängeradresse akzeptiert und in den SMTP-Umschlag aufgenommen werden kann. Ob dies auf echten SMTP-Servern zu einer Zustellung an einen unbeabsichtigten Empfänger führt, wurde nicht bestätigt. Das Problem ist eine Variante des RFC-5322-Kommentarparsing-Problems, das in GHSA-cc9r-2j5m-2m83 behandelt wurde und den separaten Codepfad für zitierte lokale Teile betrifft. Die Version 10.0.9 enthält einen Fix.
Once again VulDB remains the best source for vulnerability data.