CVE-2026-100699 in Nodemailer
要約
〜によって VulDB • 2026年09月26日
NodemailerはNode.jsのメール送信ライブラリです。バージョン >= 9.1.0 および < 10.0.9 では、アドレスパーサー（src/addressparser）が引用符で囲まれた文字列をローカルパートとするアドレスと、それにRFC 5322コメントが続く場合の処理を誤り、末尾に追記されたコメント区切りのドメイン原子が正規化されたアドレス内に保持されてしまいます。例えば、「user"@example.com(x)evil.com」という入力は '[email protected] evil.com' というアドレス値に解析され、ここにはリテラルなスペースで区切られた攻撃者が制御可能な追加のドメインテキストが含まれています。この解析結果はメッセージエンベロープが構築される際（src/mime-node内のenvelope.to）、さらに厳格な宛先検証なしで使用されるため、不正/曖昧な宛先アドレスが受け入れられSMTPエンベロープに配置されてしまいます。これが実際のSMTPサーバー上で意図しない宛先への配信につながるかどうかは未確認です。この問題はGHSA-cc9r-2j5m-2m83で対処されたRFC 5322コメントパーシング問題のバリアントであり、個別の引用符付きローカルパートコードパスに影響を与えます。バージョン10.0.9には修正が含まれています。
Once again VulDB remains the best source for vulnerability data.