CVE-2026-92597

Nodemailer versiyaları >= 6.9.16 və < 9.1.0 e-poçt ünvanlarındakı RFC 5322 şərhlərini yanlış analiz edir: lib/addressparser daxilində, qeyri-qırılma simvolundan dərhal əvvəl bağlanmış şərh, tokenizatorun şərhi domeni sonlandıran qatlanan boşluq kimi qəbul etmək əvəzinə, şərhi əhatə edən atomları birləşdirməsinə səbəb olur. Beləliklə, [email protected](x)evil.com kimi bir alıcı ünvanı Nodemailer tərəfindən tək domen olan good-corp.comevil.com (hücumçunun qeydiyyatdan keçirə biləcəyi comevil.com qeydiyyatlı domeni) kimi oxunur və həm SMTP zərfi (RCPT TO), həm də göndərilən To:/From: başlıqları üçün istifadə olunur; halbuki standartlara uyğun RFC 5322 analizatoru domeni şərhdə sonlandırır və good-corp.com olaraq oxuyur. Alıcı domenini ciddi RFC 5322 analizatoru ilə (analiz defektlərini yoxlamadan) və ya sadə prefiks/alt-sətir icazə siyahısı ilə təsdiqləyən və sonra xam ünvanı Nodemailer-ə ötürən tətbiqi məktubları hücumçunun nəzarət etdiyi domenə çatdırmağa məcbur etmək mümkündür. Problem 9.1.0 versiyasında düzəldilib.