Nodemailer addressparser 解析缺陷致邮件误投

GitHub 安全公告库发布通告称，Nodemailer 的 addressparser 在解析 angle-addr 时遇到第一个 > 就结束，包括引号本地部分、注释或域名字面量中的 >，使 "[email protected]>"@good.com 被读成 evil.com 地址，导致邮件投递到非预期域名。受影响版本为 3.0.0 至 10.1.3。 公告称，攻击者只需控制应用传给 Nodemailer 的收件人或发件人地址文本，例如联系或邀请表单中的 To 值，或用 mailparser 解析的入站邮件头，无需访问应用、其配置或凭据。 公告称修复方式是跟踪 angle-addr 内的引号字符串、注释和域名字面量，只读取它们之外的 >。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。