ارتباك نطاق المستلم في Nodemailer من الإصدار 3.0.0 حتى ما قبل 10.1.4 عبر addressparser

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي منتج Nodemailer من الإصدار 3.0.0 حتى ما قبل 10.1.4 على ثغرة تحليل عناوين في addressparser تُنهي عنوان angle-addr عند وجود علامة '>' داخل جزء محلي مُقتبس أو تعليق أو نطاق حرفي. يمكن للمهاجمين إرسال عناوين تتحقق على أنها نطاق مسموح به ولكن يتم تسليمها إلى نطاق يسيطر عليه المهاجم، مما يتجاوز قوائم السماح للمستلمين ويكشف محتوى الرسالة.

المعالجة

1. أحصِ جميع نشرات nodemailer nodemailer، بما فيها بيئات الاختبار.
2. رقِّ nodemailer nodemailer إلى الإصدار 10.1.4.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/nodemailer/nodemailer/security/advisories/GHSA-85x2-q946-cp5h
• تحذيرhttps://www.vulncheck.com/advisories/nodemailer-3.0.0-before-10.1.4-recipient-domain-confusion-via-addressparser