CVE-2026-92598 in Nodemailer
Zusammenfassung
von VulDB • 17.09.2026
Nodemailer vor Version 9.1.0 wendet die UTS-46-Normalisierung nicht an, wenn internationale Domainnamen codiert werden, wodurch der Domain-Auflöser ein anderes Punycode A-Label berechnet als standardskonforme Parser. Angreifer können Empfängeradressen mit unsichtbaren Zeichen oder Kompatibilitätszuordnungen erstellen, die die Domain-Allowlist-Prüfungen bestehen, aber über SMTP an von den Angreifern kontrollierte Domains zugestellt werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.