GitHub 安全公告库 (GHSA)·2026-10-24 05:51· 3 小时前精选AI 评分58

Nodemailer addressparser 在引号或注释内的分号处提前结束地址组，影响 3.0.0 至 10.1.3

Nodemailer: A ";" inside a quoted string or comment ends an address group early in addressparser, turning display text into a recipient

AI 导读

Nodemailer 的 addressparser 会在第一个分号处结束 RFC 5322 地址组，包括引号显示名或注释内的分号，其后的文本被翻转引号后重新解析为顶层收件人，受影响版本为 3.0.0 至 10.1.3。

为什么值得看

公告给出可运行的 addressparser 复现代码，说明合规校验器放行的地址在 Nodemailer 中会被解析成攻击者指定的收件人。