Nodemailerに脆弱性、宛先を細工され意図しない相手へメールが送られるおそれ
Summary
Nodemailerの3.0.0から10.1.4より前の版には、addressparserのグループアドレス解析に誤りがあり、細工されたアドレスで宛先を攻撃者の指定する相手に差し替えられるおそれがあります。宛先の許可リストも回避されるため、影響は小さくありません。修正版の10.1.4以降へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Nodemailerの3.0.0から10.1.4より前の版には、addressparserのグループアドレス解析に誤りがあり、細工されたアドレスで宛先を攻撃者の指定する相手に差し替えられるおそれがあります。宛先の許可リストも回避されるため、影響は小さくありません。修正版の10.1.4以降へ更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nodemailernodemailer |
≥ 3.0.0, < 10.1.4→ 10.1.4 |
10.1.4 |
| npmnodemailer |
≥ 3.0.0, < 10.1.4→ 10.1.4 |
10.1.4 |
Fix status by distribution
Records published by each distribution for this CVE. Fixed versions differ by release; check each link.
- Debian DEBIAN-CVE-2026-121425 node-nodemailer No fixed version in this record
- Ubuntu UBUNTU-CVE-2026-121425 node-nodemailer No fixed version in this record
Original description The description as published by the source.
Nodemailer from 3.0.0 before 10.1.4 contains a parsing flaw in addressparser that ends an RFC 5322 group at a semicolon inside quoted display names or comments. Attackers can submit crafted group addresses that conformant validators approve, redirecting mail to attacker-chosen recipients and bypassing recipient allow lists.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- REDHAT Red Hat
- web github.com
- web github.com
- web github.com