PHP のメール解析ライブラリ mail-mime-parser 3.0.9 未満・4.0.6 未満で、ヘッダー注入によりBccなどを混ぜられる（CVE-2026-121946）: CVSS v3.1 7.2、認証不要、修正版あり

PHP 用のメール解析・組み立てライブラリ mail-mime-parser の 3.0.9 より前と、4.x の 4.0.6 より前の版に、ヘッダー注入の脆弱性（CVE-2026-121946）があります。2026-11-04 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Received」（NVD の分析はまだ）です。

何が起きるか

• メッセージを組み立てる補助機能が、MIME タイプ、文字セット、エンコーディング、micalg、protocol の値から CR（改行）と LF を取り除きません（CWE-93）。
• 攻撃者がこれらの値を指定できるアプリケーションでは、値に改行を入れて、送信メールに別のヘッダー行を足せます。例として、偽の Bcc を足して、送信者の意図しない宛先にメールを複製させる、という使い方が挙げられています。
• つまり、このライブラリでメールを組み立て、かつ上の値を外部入力から受け取る作りのアプリが影響を受けます。ライブラリを入れているだけで、すぐ悪用できるとは限りません。
• 攻撃にログインは要りません（CVSS では PR:N）。ただし、実際に狙えるかは、各アプリが上の値を外部から受け取るかで決まります。

数値と severity

• CVSS v3.1 は 7.2（HIGH）。ベクターは AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N です。CVSS v4.0 は 6.9（MEDIUM）です。
• 認証は不要ですが、スコアは 9 未満です。影響は機密性・完全性とも「低」にとどまるため、severity は high とします。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品と修正

• mail-mime-parser 3.0.9 より前の版（0.3.0 以降）。
• mail-mime-parser 4.x の 4.0.6 より前の版（4.0.0 以降）。
• 修正は 3.0.9 と 4.0.6 で入ったとされています。修正コミットと GitHub のセキュリティアドバイザリが公開されています。

対策

• 3.x を使っている場合は 3.0.9 以降、4.x を使っている場合は 4.0.6 以降に更新する。
• 更新までの間の対応として、次のようなものが考えられます（公式の指示ではありません）。
  • MIME タイプ、文字セット、エンコーディングなどの値を外部入力から受け取っている箇所を洗い出し、CR・LF を含む値を拒否する。
  • 送信メールのヘッダーに、意図しない Bcc などの行が混ざっていないかをログで確認する。

未確認の点

• 悪用の有無と、攻撃コードの公開状況。
• 具体的にどのアプリケーションが外部入力を渡す作りになっているか。
• 3.0.9・4.0.6 でどこまで直っているか（同種の処理に不備が残らないか）。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-121946
• VulnCheck: zbateson-mail-mime-parser-before-3.0.9-and-4-x-before-4.0.6-crlf-header-injection-via-message-builders
• 修正コミット 1fa840e ほか 3 件 / GitHub セキュリティアドバイザリ GHSA-gmgm-r6fh-fq6g