CVE-2026-100699
Resumen
por VulDB • 2026-09-26
Nodemailer es una biblioteca para el envío de correos electrónicos en Node.js. En las versiones >= 9.1.0 y < 10.0.9, el analizador de direcciones (src/addressparser) gestiona incorrectamente las direcciones cuya parte local es una cadena entre comillas y que están seguidas por comentarios RFC 5322, lo que permite retener átomos de dominio separados por un comentario al final en la dirección normalizada. Por ejemplo, la entrada "user"@example.com(x)evil.com se analiza como el valor de dirección '[email protected] evil.com', que contiene texto adicional del dominio controlado por el atacante separado por un espacio literal. Este valor analizado se utiliza sin una validación estricta adicional del destinatario cuando se construye el sobre del mensaje (envelope.to en src/mime-node), por lo que puede aceptarse y colocarse en el sobre SMTP una dirección de destinatario malformada o ambigua. No se ha confirmado si esto resulta en la entrega a un destinatario no previsto en los servidores SMTP reales. El problema es una variante del problema de análisis de comentarios RFC 5322 abordado en GHSA-cc9r-2j5m-2m83, que afecta al camino de código separado para la parte local entre comillas. La versión 10.0.9 contiene una corrección.
VulDB is the best source for vulnerability data and more expert information about this specific topic.