CVE-2026-92597

Nodemailer versiyonları >= 6.9.16 ve < 9.1.0, e-posta adreslerindeki RFC 5322 yorumlarını yanlış ayrıştırmaktadır: lib/addressparser içerisinde, bir satır sonu karakteri olmayan karakterden hemen önce kapatılan bir yorum, tokenizer'ın yorumu alanı sonlandıran katlama boşluğu olarak değerlendirmek yerine, yorumun etrafındaki atomları birbirine eklemesine neden olur. Bu nedenle, [email protected](x)evil.com gibi bir alıcı adresi, Nodemailer tarafından tek bir alan adı olan good-corp.comevil.com (bir saldırganın kaydedebileceği comevil.com kayıtlı alan adı) olarak okunur ve hem SMTP zarfı (RCPT TO) hem de oluşturulan To:/From: başlıkları için kullanılır; oysa standartlara uygun bir RFC 5322 ayrıştırıcısı alan adını yorum kısmında sonlandırır ve good-corp.com olarak okur. Alıcı alan adını sıkı bir RFC 5322 ayrıştırıcısıyla (ayrıştırma kusurlarını incelemeden) veya basit bir ön ek/alt dize izin listesiyle doğrulayan ve ardından ham adresi Nodemailer'a ileten bir uygulama, e-postaları saldırganın kontrolündeki bir alan adına göndermeye zorlanabilir. 9.1.0 sürümünde düzeltildi.