CVE-2026-92597 in Nodemailer
Zusammenfassung
von VulDB • 17.09.2026
Nodemailer-Versionen >= 6.9.16 und < 9.1.0 parsen RFC-5322-Kommentare in E-Mail-Adressen fehlerhaft: In `lib/addressparser` führt ein Kommentar, der unmittelbar vor einem nicht-trennenden Zeichen geschlossen wird, dazu, dass der Tokenizer die den Kommentar umgebenden Atomwerte konkateniert, anstatt den Kommentar als Faltungs-Leerraum zu behandeln, der die Domain beendet. Eine Empfängeradresse wie `[email protected](x)evil.com` wird daher von Nodemailer als einzelne Domain `good-corp.comevil.com` (registrierbare Domain `comevil.com`, die ein Angreifer registrieren kann) interpretiert und sowohl für den SMTP-Envelope (RCPT TO) als auch für die ausgegebenen To:/From:-Header verwendet, während ein konformer RFC-5322-Parser die Domain am Kommentar beendet und `good-corp.com` liest. Eine Anwendung, die die Empfängerdomain mit einem strikten RFC-5322-PARSER (ohne Prüfung von Parsing-Fehlern) oder einer naiven Prefix-/Substring-Autorisierungsliste validiert und anschließend die rohe Adresse an Nodemailer übergibt, kann dazu gebracht werden, E-Mails an eine vom Angreifer kontrollierte Domain zu zustellen. Behoben in Version 9.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.