GitHub 安全公告库 (GHSA)·2026-10-24 05:51· 3 小时前精选AI 评分58

Nodemailer addressparser 解析引号内 > 导致邮件投递到非预期域名，影响 3.0.0 至 10.1.3

Nodemailer: A ">" inside a quoted local part ends an angle-addr early in addressparser, delivering to a domain the header does not name

AI 导读

Nodemailer 的 addressparser 在解析 angle-addr 时遇到第一个 > 就结束，包括引号本地部分、注释或域名字面量中的 >，导致 "[email protected]>"@good.com 被读成 evil.com 地址，影响 3.0.0 至 10.1.3。

为什么值得看

通告说明合规校验器认可、Nodemailer 却解析成攻击者域名的差异，收件人白名单可被绕过。