Nodemailerの脆弱性により宛先ドメインの検証を回避され、メッセージ内容が外部に漏えいするおそれ
Summary
Nodemailerのaddressparserに、宛先アドレスの解析の誤りによる脆弱性が見つかりました。3.0.0から10.1.4より前の版が対象で、許可された宛先ドメインと検証されたアドレスが攻撃者のドメインへ配送され、メッセージ内容が漏えいするおそれがあります。修正版は10.1.4です。すぐに10.1.4以降へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Nodemailerのaddressparserに、宛先アドレスの解析の誤りによる脆弱性が見つかりました。3.0.0から10.1.4より前の版が対象で、許可された宛先ドメインと検証されたアドレスが攻撃者のドメインへ配送され、メッセージ内容が漏えいするおそれがあります。修正版は10.1.4です。すぐに10.1.4以降へ更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nodemailernodemailer |
≥ 3.0.0, < 10.1.4→ 10.1.4 |
10.1.4 |
| npmnodemailer |
≥ 3.0.0, < 10.1.4→ 10.1.4 |
10.1.4 |
Fix status by distribution
Records published by each distribution for this CVE. Fixed versions differ by release; check each link.
- Debian DEBIAN-CVE-2026-121426 node-nodemailer No fixed version in this record
- Ubuntu UBUNTU-CVE-2026-121426 node-nodemailer No fixed version in this record
Original description The description as published by the source.
Nodemailer from 3.0.0 before 10.1.4 contains an address parsing vulnerability in addressparser that ends an angle-addr at a '>' inside a quoted local part, comment or domain literal. Attackers can submit addresses that validate as an allowed domain but are delivered to an attacker-controlled domain, bypassing recipient allow lists and disclosing message content.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- REDHAT Red Hat
- web github.com
- web github.com
- web github.com