Nodemailer 地址组解析缺陷影响 3.0.0 至 10.1.3

GitHub 安全公告库发布通告称，Nodemailer 的 addressparser 会在第一个分号处结束 RFC 5322 地址组，即使该分号位于引号显示名或注释内；其后的文本被翻转引号后重新解析为顶层收件人。受影响版本为 3.0.0 至 10.1.3。 公告称，触发条件是攻击者控制应用传给 Nodemailer 的地址字段文本，或控制经 mailparser 解析的入站邮件头，且无需访问应用、其配置或凭据。修复方式是跟踪地址组内的引号字符串和注释，只把组外的分号当作结束符。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。