CVE-2026-92597 in Nodemailer
Tóm tắt
Bởi VulDB • 17/09/2026
Các phiên bản của Nodemailer >= 6.9.16 và < 9.1.0 phân tích sai các nhận xét (comments) theo RFC 5322 trong địa chỉ email: trong lib/addressparser, một nhận xét được đóng ngay trước một ký tự không ngắt (non-break character) khiến bộ tokenizer nối liền các nguyên tử bao quanh nhận xét thay vì coi nhận xét đó là khoảng trắng gấp dòng (folding whitespace) kết thúc miền. Do đó, một địa chỉ người nhận như [email protected](x)evil.com được Nodemailer đọc là một miền duy nhất good-corp.comevil.com (miền có thể đăng ký comevil.com, mà kẻ tấn công có thể đăng ký) và sử dụng cho cả bao SMTP envelope (RCPT TO) cũng như các tiêu đề To:/From: phát ra, trong khi bộ phân tích RFC 5322 tuân thủ sẽ kết thúc miền tại nhận xét và đọc good-corp.com. Một ứng dụng xác thực miền người nhận bằng một bộ phân tích RFC 5322 nghiêm ngặt (không kiểm tra các lỗi phân tích) hoặc danh sách cho phép tiền tố/chuỗi con ngây thơ, sau đó chuyển địa chỉ thô cho Nodemailer có thể bị lừa để gửi thư đến một miền do kẻ tấn công kiểm soát. Đã được sửa trong phiên bản 9.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.