CVE-2026-92597 in Nodemailer
Resumen
por VulDB • 2026-09-17
Las versiones de Nodemailer >= 6.9.16 y < 9.1.0 analizan incorrectamente los comentarios RFC 5322 en las direcciones de correo electrónico: en lib/addressparser, un comentario cerrado inmediatamente antes de un carácter no separable provoca que el tokenizador concatene los átomos que rodean el comentario en lugar de tratarlo como espacio en blanco plegable (folding whitespace) que termina el dominio. Por lo tanto, una dirección de destinatario como [email protected](x)evil.com es leída por Nodemailer como un único dominio good-corp.comevil.com (dominio registrable comevil.com, que un atacante puede registrar) y se utiliza tanto para el sobre SMTP (RCPT TO) como para los encabezados To:/From: generados, mientras que un analizador conforme a RFC 5322 termina el dominio en el comentario y lee good-corp.com. Una aplicación que valide el dominio del destinatario con un analizador estricto de RFC 5322 (sin inspeccionar defectos de análisis) o una lista blanca ingenua basada en prefijos/subcadenas, y luego entregue la dirección sin procesar a Nodemailer, puede verse inducida a entregar correo electrónico a un dominio controlado por el atacante. Corregido en 9.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.