CVE-2026-100699

Nodemailer bir Node.js e-posta gönderme kütüphanesidir. >= 9.1.0 ve < 10.0.9 sürümlerinde, adres ayrıştırıcı (src/addressparser), yerel kısmı tırnak içine alınmış bir dize olan ve ardından RFC 5322 yorumları gelen adresleri hatalı işleyerek, normalize edilmiş adreste sonda bulunan yorumla ayrılmış alan adı atomlarının tutulmasına izin verir. Örneğin, "user"@example.com(x)evil.com girdisi, gerçek bir boşlukla ayrılmış saldırgan kontrollü ek alan adı metni içeren '[email protected] evil.com' adres değerine dönüştürülür. Bu ayrıştırılmış değer, mesaj zarfı oluşturulurken (src/mime-node içindeki envelope.to) daha fazla sıkı alıcı doğrulaması yapılmadan kullanılır; bu nedenle, hatalı biçimlendirilmiş veya belirsiz bir alıcı adresi kabul edilebilir ve SMTP zarfına yerleştirilebilir. Bunun gerçek SMTP sunucularında istenmeyen bir alıcıya teslimatla sonuçlanıp sonuçlanmadığı onaylanmamıştır. Sorun, ayrı tırnaklı-yerel-kısım (quoted-local-part) kod yolunu etkileyen ve GHSA-cc9r-2j5m-2m83 kapsamında ele alınan RFC 5322 yorum ayrıştırma probleminin bir varyantıdır. Sürüm 10.0.9 bir düzeltme içerir.