Nodemailerの脆弱性により宛先ドメインの検証を回避され、メッセージ内容が外部に漏えいするおそれ
概要
Nodemailerのaddressparserに、宛先アドレスの解析の誤りによる脆弱性が見つかりました。3.0.0から10.1.4より前の版が対象で、許可された宛先ドメインと検証されたアドレスが攻撃者のドメインへ配送され、メッセージ内容が漏えいするおそれがあります。修正版は10.1.4です。すぐに10.1.4以降へ更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Nodemailerのaddressparserに、宛先アドレスの解析の誤りによる脆弱性が見つかりました。3.0.0から10.1.4より前の版が対象で、許可された宛先ドメインと検証されたアドレスが攻撃者のドメインへ配送され、メッセージ内容が漏えいするおそれがあります。修正版は10.1.4です。すぐに10.1.4以降へ更新してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| nodemailernodemailer |
3.0.0 以上 10.1.4 未満→ 10.1.4 |
10.1.4 |
| npmnodemailer |
3.0.0 以上 10.1.4 未満→ 10.1.4 |
10.1.4 |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。
- Debian DEBIAN-CVE-2026-121426 node-nodemailer この記録に修正版の記載なし
- Ubuntu UBUNTU-CVE-2026-121426 node-nodemailer この記録に修正版の記載なし
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Nodemailer from 3.0.0 before 10.1.4 contains an address parsing vulnerability in addressparser that ends an angle-addr at a '>' inside a quoted local part, comment or domain literal. Attackers can submit addresses that validate as an allowed domain but are delivered to an attacker-controlled domain, bypassing recipient allow lists and disclosing message content.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- REDHAT Red Hat
- web github.com
- web github.com
- web github.com