Nodemailerで宛先ドメインの制限を回避される脆弱性
Summary
Nodemailer 3.0.0から10.4.1より前の版には、アドレス解析の不具合により宛先ドメインの制限を回避される脆弱性があります。攻撃者が指定した宛先へ、アプリケーションの送信元として メールを届けられるおそれがあります。修正版の10.4.1への更新が推奨されます。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Nodemailer 3.0.0から10.4.1より前の版には、アドレス解析の不具合により宛先ドメインの制限を回避される脆弱性があります。攻撃者が指定した宛先へ、アプリケーションの送信元として メールを届けられるおそれがあります。修正版の10.4.1への更新が推奨されます。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| nodemailernodemailer |
≥ 3.0.0, < 10.4.1→ 10.4.1 |
10.4.1 |
Fix status by distribution
Records published by each distribution for this CVE. Fixed versions differ by release; check each link.
- Ubuntu UBUNTU-CVE-2026-125755 node-nodemailer No fixed version in this record
Original description The description as published by the source.
Nodemailer 3.0.0 before 10.4.1 contains an address parsing flaw in addressparser that truncates domains at folding whitespace or comments before a dot, allowing attackers to bypass recipient domain restrictions. Attackers can submit crafted to, cc, bcc or replyTo addresses that pass RFC 5322 domain checks but deliver mail to an attacker-chosen address under the application's sender identity.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- patch github.com
- web github.com
- web github.com