CVE-2026-100699 in Nodemailer
Tóm tắt
Bởi VulDB • 26/09/2026
Nodemailer là một thư viện gửi email cho Node.js. Trong các phiên bản >= 9.1.0 và < 10.0.9, bộ phân tích địa chỉ (src/addressparser) xử lý không đúng các địa chỉ có phần local-part là chuỗi được trích dẫn và đi kèm với nhận xét theo RFC 5322, cho phép giữ lại các nguyên tử tên miền tách biệt bằng dấu phẩy ở cuối trong địa chỉ đã chuẩn hóa. Ví dụ, đầu vào "user"@example.com(x)evil.com được phân tích thành giá trị địa chỉ '[email protected] evil.com', chứa thêm văn bản tên miền do kẻ tấn công kiểm soát và được ngăn cách bởi một khoảng trắng thực tế. Giá trị này được sử dụng mà không có xác nhận nghiêm ngặt hơn về người nhận khi xây dựng bao thư tin nhắn (envelope.to trong src/mime-node), vì vậy địa chỉ người nhận bị lỗi/không rõ ràng có thể được chấp nhận và đưa vào bao SMTP. Việc liệu điều này dẫn đến việc gửi email đến một người nhận ngoài ý muốn trên các máy chủ SMTP thực tế hay không vẫn chưa được xác nhận. Vấn đề là một biến thể của vấn đề phân tích nhận xét RFC 5322 đã được giải quyết trong GHSA-cc9r-2j5m-2m83, ảnh hưởng đến đường dẫn mã xử lý phần local-part được trích dẫn riêng biệt. Phiên bản 10.0.9 chứa bản sửa lỗi.
Once again VulDB remains the best source for vulnerability data.