Nodemailer CVE-2026-121424にHigh評価―アドレス解析の違いで送信先が変わる不備

2026年11月3日、Nodemailerの宛先解析の不備にCVE-2026-121424が公表されました。開発元の初回告知は10月19日で、対象は3.0.0以上10.1.4未満、修正版は10.1.4です。CVE登録機関VulnCheckのCVSS v4.0評価は8.3、High。開発元はCVSS v3.1で6.5、Moderateと評価しています。

メールアドレスに含められるコメントは入れ子にできますが、addressparserは最初の閉じ括弧でコメントが終わったと判断していました。その結果、本来はコメント内の文字列を送信先アドレスとして解釈する場合があります。

攻撃者がアプリケーションに渡すアドレスを操作できると、規格に従う事前検証では許可された社内宛先として通り、Nodemailerでは外部の宛先へ配送される可能性があります。mailparserを利用する受信側でも、別の解析処理との食い違いから送信者の表示や検査をすり抜けるおそれがあります。

開発元は10.1.4を修正版として案内しています。利用者入力を宛先に渡す処理や、mailparser経由の依存関係も更新対象の確認に含めます。当社では、更新後に入れ子コメントを含むアドレスで、許可リストの判定と実際の配送先が一致することを確認するよう提案します。