CVE-2026-100699

Nodemailer Node.js üçün e-poçt göndərmə kitabxanasıdır. >= 9.1.0 və < 10.0.9 versiyalarında ünvan analizatoru (src/addressparser), lokal hissəsi dırnaq arası sətir olan və ardınca RFC 5322 şərhləri gələn ünvanları yanlış emal edir ki, bu da normallaşdırılmış ünvanda şərh ilə ayrılmış sonuncu domen atomlarının qalmasına imkan verir. Məsələn, "user"@example.com(x)evil.com girişi '[email protected] evil.com' ünvan dəyəri kimi analiz edilir ki, bu da boşluqla ayrılmış hücumçu tərəfindən idarə olunan əlavə domen mətnini ehtiva edir. Mesaj zərfi qurularkən (src/mime-node faylında envelope.to), bu analiz edilmiş dəyərdən daha ciddi alıcı təsdiqi olmadan istifadə olunur, buna görə də yanlış formalaşmış/qeyri-müəyyən alıcı ünvanı qəbul edilə və SMTP zərfində yerləşdirilə bilər. Bunun real SMTP serverlərində nəzərdə tutulmayan alıcıya çatdırılma ilə nəticələnib-nəticələnmədiyi təsdiqlənməmişdir. Bu problem, GHSA-cc9r-2j5m-2m83-də həll edilmiş RFC 5322 şərh analizi probleminin ayrı bir quoted-local-part kod yoluna təsir edən variantıdır. Versiya 10.0.9 düzəlişi ehtiva edir.