حقن المستلمين في Nodemailer 3.0.0 قبل الإصدار 10.1.4 عبر تحليل مجموعات addressparser

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي Nodemailer من الإصدار 3.0.0 وقبل 10.1.4 على عيب في التحليل داخل addressparser يؤدي إلى إنهاء مجموعة RFC 5322 عند فاصلة منقوطة داخل أسماء العرض المحاطة بعلامات تنصيص أو التعليقات. يمكن للمهاجمين إرسال عناوين مجموعات مصممة توافقها أدوات التحقق المطابقة، مما يعيد توجيه البريد إلى مستلمين يختارهم المهاجم ويتجاوز قوائم السماح للمستلمين.

المعالجة

1. أحصِ جميع نشرات nodemailer nodemailer، بما فيها بيئات الاختبار.
2. رقِّ nodemailer nodemailer إلى الإصدار 10.1.4.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/nodemailer/nodemailer/security/advisories/GHSA-m943-m63m-w62w
• تحذيرhttps://www.vulncheck.com/advisories/nodemailer-3.0.0-before-10.1.4-recipient-injection-via-addressparser-group-parsing