CVE-2026-92597 in Nodemailer
要約
〜によって VulDB • 2026年09月17日
Nodemailerのバージョン6.9.16以上かつ9.1.0未満では、RFC 5322コメントがメールアドレス内で正しく解析されません。lib/addressparserにおいて、非改行文字の前に直ちに閉じられるコメントがあると、トークナイザーはドメインを終了させる折り返し空白としてコメントを扱うのではなく、そのコメントを取り囲むアトムを連結してしまいます。そのため、「[email protected](x)evil.com」のような宛先アドレスは、Nodemailerによって「good-corp.comevil.com」という単一のドメイン（登録可能なドメインcomevil.comで、攻撃者が登録可能）として読み込まれ、SMTPエンベロープ（RCPT TO）と出力されるTo:/From:ヘッダーの両方に使用されます。一方、RFC 5322に準拠したパーサーはコメント箇所でドメインを終了させ、「good-corp.com」を読み取ります。厳格なRFC 5322パーサー（解析上の欠陥を検出しない）または単純なプレフィックス/部分文字列の許可リストを使用して宛先ドメインを検証し、その後生アドレスをNodemailerに渡すアプリケーションは、攻撃者が制御するドメインへメールを送信させられる可能性があります。この問題は9.1.0で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.