Nodemailerの脆弱性、入れ子のコメントで宛先を偽装される恐れ
概要
Nodemailer 3.0.0から10.1.4より前のバージョンに、メールアドレス解析の脆弱性が見つかりました。攻撃者は入れ子のコメントで攻撃者のアドレスを隠し、宛先の許可リストを回避してメールを受け取ったり、送信者を偽装したりできるおそれがあります。修正版の10.1.4以降へ更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Nodemailer 3.0.0から10.1.4より前のバージョンに、メールアドレス解析の脆弱性が見つかりました。攻撃者は入れ子のコメントで攻撃者のアドレスを隠し、宛先の許可リストを回避してメールを受け取ったり、送信者を偽装したりできるおそれがあります。修正版の10.1.4以降へ更新してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| nodemailernodemailer |
3.0.0 以上 10.1.4 未満→ 10.1.4 |
10.1.4 |
| npmnodemailer |
3.0.0 以上 10.1.4 未満→ 10.1.4 |
10.1.4 |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。
- Debian DEBIAN-CVE-2026-121424 node-nodemailer この記録に修正版の記載なし
- Ubuntu UBUNTU-CVE-2026-121424 node-nodemailer この記録に修正版の記載なし
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Nodemailer from 3.0.0 before 10.1.4 contains an address parsing vulnerability in addressparser that allows remote attackers to redirect recipients by ending nested RFC 5322 comments at the first closing parenthesis. Attackers can submit addresses whose nested comment hides an attacker address, bypassing conformant validators and recipient allow lists to receive mail or spoof senders in mailparser.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- REDHAT Red Hat
- web github.com
- web github.com
- web github.com