CVE-2026-92597 in Nodemailer
摘要
由 VulDB • 2026-09-17
Nodemailer 版本 >= 6.9.16 且 < 9.1.0 在解析电子邮件地址中的 RFC 5322 注释时存在错误：在 lib/addressparser 中，紧接在非换行字符之前关闭的注释会导致词法分析器将注释周围的原子连接起来，而不是将该注释视为终止域名的折叠空白符。因此，收件人地址如 [email protected](x)evil.com 会被 Nodemailer 解析为单个域名 good-corp.comevil.com（可注册的域名为 comevil.com，攻击者可注册该域名），并用于 SMTP 信封（RCPT TO）以及生成的 To:/From: 头部；而符合 RFC 5322 标准的解析器会在注释处终止域名，并将其读取为 good-corp.com。如果应用程序使用严格的 RFC 5322 解析器验证收件人域名（且不检查解析缺陷），或使用简单的基于前缀/子串的白名单机制，然后将原始地址交给 Nodemailer，则可能导致邮件被投递到攻击者控制的域中。该问题已在版本 9.1.0 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.