Nodemailerの脆弱性、入れ子のコメントで宛先を偽装される恐れ
Summary
Nodemailer 3.0.0から10.1.4より前のバージョンに、メールアドレス解析の脆弱性が見つかりました。攻撃者は入れ子のコメントで攻撃者のアドレスを隠し、宛先の許可リストを回避してメールを受け取ったり、送信者を偽装したりできるおそれがあります。修正版の10.1.4以降へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Nodemailer 3.0.0から10.1.4より前のバージョンに、メールアドレス解析の脆弱性が見つかりました。攻撃者は入れ子のコメントで攻撃者のアドレスを隠し、宛先の許可リストを回避してメールを受け取ったり、送信者を偽装したりできるおそれがあります。修正版の10.1.4以降へ更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nodemailernodemailer |
≥ 3.0.0, < 10.1.4→ 10.1.4 |
10.1.4 |
| npmnodemailer |
≥ 3.0.0, < 10.1.4→ 10.1.4 |
10.1.4 |
Fix status by distribution
Records published by each distribution for this CVE. Fixed versions differ by release; check each link.
- Debian DEBIAN-CVE-2026-121424 node-nodemailer No fixed version in this record
- Ubuntu UBUNTU-CVE-2026-121424 node-nodemailer No fixed version in this record
Original description The description as published by the source.
Nodemailer from 3.0.0 before 10.1.4 contains an address parsing vulnerability in addressparser that allows remote attackers to redirect recipients by ending nested RFC 5322 comments at the first closing parenthesis. Attackers can submit addresses whose nested comment hides an attacker address, bypassing conformant validators and recipient allow lists to receive mail or spoof senders in mailparser.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- REDHAT Red Hat
- web github.com
- web github.com
- web github.com