Nodemailerに脆弱性、宛先を細工され意図しない相手へメールが送られるおそれ
概要
Nodemailerの3.0.0から10.1.4より前の版には、addressparserのグループアドレス解析に誤りがあり、細工されたアドレスで宛先を攻撃者の指定する相手に差し替えられるおそれがあります。宛先の許可リストも回避されるため、影響は小さくありません。修正版の10.1.4以降へ更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Nodemailerの3.0.0から10.1.4より前の版には、addressparserのグループアドレス解析に誤りがあり、細工されたアドレスで宛先を攻撃者の指定する相手に差し替えられるおそれがあります。宛先の許可リストも回避されるため、影響は小さくありません。修正版の10.1.4以降へ更新してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| nodemailernodemailer |
3.0.0 以上 10.1.4 未満→ 10.1.4 |
10.1.4 |
| npmnodemailer |
3.0.0 以上 10.1.4 未満→ 10.1.4 |
10.1.4 |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。
- Debian DEBIAN-CVE-2026-121425 node-nodemailer この記録に修正版の記載なし
- Ubuntu UBUNTU-CVE-2026-121425 node-nodemailer この記録に修正版の記載なし
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Nodemailer from 3.0.0 before 10.1.4 contains a parsing flaw in addressparser that ends an RFC 5322 group at a semicolon inside quoted display names or comments. Attackers can submit crafted group addresses that conformant validators approve, redirecting mail to attacker-chosen recipients and bypassing recipient allow lists.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- REDHAT Red Hat
- web github.com
- web github.com
- web github.com