CVE-2026-92597 in Nodemailer
Сводка
по VulDB • 17.09.2026
В версиях Nodemailer >= 6.9.16 и < 9.1.0 происходит некорректный разбор комментариев RFC 5322 в адресах электронной почты: в модуле lib/addressparser комментарий, закрытый непосредственно перед символом, который не является пробельным (non-break character), приводит к тому, что токенизатор объединяет атомы вокруг комментария вместо того, чтобы рассматривать комментарий как сворачиваемый пробел, завершающий домен. Таким образом, адрес получателя вида [email protected](x)evil.com интерпретируется Nodemailer как единый домен good-corp.comevil.com (регистрируемый домен comevil.com, который злоумышленник может зарегистрировать), и используется как для SMTP-конверта (RCPT TO), так и для заголовков To:/From:, в то время как соответствующий стандарту RFC 5322 парсер завершает разбор домена на комментарии и считывает good-corp.com. Приложение, которое проверяет домен получателя с помощью строгого парсера RFC 5322 (без анализа дефектов разбора) или использует простой список разрешенных префиксов/подстрок, а затем передает сырой адрес в Nodemailer, может быть вынуждено доставлять почту на домен, контролируемый злоумышленником. Исправлено в версии 9.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.