Nodemailer 10.1.4 未満 CVE-2026-121424・121425・121426: 宛先アドレスの解釈ずれで、許可ドメインの確認をすり抜けて別の宛先に届く恐れ（CVSS v4 8.3）

Node.js のメール送信ライブラリ Nodemailer の 3.0.0 以上 10.1.4 未満で、宛先アドレスを読み取る部品（addressparser）に解釈の誤りが 3 件登録されました（CVE-2026-121424・CVE-2026-121425・CVE-2026-121426）。RFC 5322（メールアドレスの書式の規格）では正しく読める細工したアドレスを、Nodemailer が別のアドレスとして読み、「自社ドメイン宛てだけ許可」といった確認を通ったあとに、攻撃者の用意した宛先へメールが届く恐れがあります。NVD への登録は 2026-11-03（状態は Awaiting Analysis）です。CVSS は登録元の VulnCheck の評価で、NVD 自身の最終評価はまだありません。

何が起きるか

3 件とも、Nodemailer の読み取りが規格とずれる点が原因です。

• CVE-2026-121424: コメントの入れ子で最初の ) を閉じと誤認し、残りのコメント部分を宛先として読む。例: Victim (x(y) <evil@evil.com>) <v@victim.com> は規格では v@victim.com ですが、Nodemailer は evil@evil.com と読みます。
• CVE-2026-121425: グループ形式の宛先で、引用符やコメントの中の ; でグループを閉じてしまい、その後ろを宛先として読む。
• CVE-2026-121426: 引用符で囲んだローカル部やコメントの中の > で <…> を閉じてしまい、ドメインを誤って読む。例: <"a@evil.com>"@good.com> は規格では good.com 宛てですが、Nodemailer は evil.com 宛てと読みます。

開発元の勧告によると、攻撃者に必要なのは、アプリが Nodemailer に渡す宛先の文字列（問い合わせ・招待フォームの入力欄など）、または mailparser で読む受信メールのヘッダーを操作できることだけで、アプリへのログインや設定の取得は要らないとされています。影響は、許可ドメインの確認の回避、メール内容が攻撃者に渡ること、受信側での送信者のなりすましです。

数値と severity

• CVSS v4.0: 8.3（AV:N/AC:H/AT:P/PR:N/UI:N、機密性高・完全性低）。CVSS v3.1: 6.5（AV:N/AC:H/PR:N/UI:N、機密性高・完全性低）。いずれも VulnCheck の評価で、3 件とも同じ値です。
• 認証は不要ですが、攻撃が通るには、アプリが「規格どおりのパーサーで確認したあと Nodemailer で送る」構成であることが前提です（AC:H・AT:P）。CVSS 9 未満のため、基準どおり severity は high とします。GitHub の勧告は 3 件とも Moderate としています。
• CISA の KEV には載っていません（確認時点の公開カタログ）。FIRST の EPSS は 0.22〜0.34%（2026-11-04 時点）です。

修正の状況

• 修正版は Nodemailer 10.1.4 です。勧告は 2026-10-19 付けで、影響範囲は 3.0.0 以上 10.1.3 以下とされています。
• 勧告には、同じ形の問題（エスケープした )）を 10.1.2 で直したとの記述があります。

対策として考えられること

1. npm ls nodemailer などで、自分のアプリと依存先で使っている Nodemailer の版を確認します（mailparser など Nodemailer に依存する部品も対象になりえます）。
2. 10.1.4 以上に更新します。
3. すぐに更新できない場合は、宛先の入力欄に (・)・;・> を含む値を拒否する、宛先を「ローカル部@ドメイン」の単純な形に限定して確認する、といった方法が考えられます（有効性は未確認で、推定です）。
4. 「許可ドメイン宛てだけ送る」処理がある場合は、確認に使うパーサーと送信に使うパーサーを同じものにそろえます。

未確認の点

• 実際の悪用の有無と、公開された概念実証（PoC）の有無（勧告には検証用のコードが載っていますが、実環境での再現は確認していません）。
• 利用規模と、実際にどのアプリで攻撃が通るか。
• NVD の最終評価（現在は登録元の評価のみ）。