--- title: "Nodemailer 10.1.4 未満 CVE-2026-121424・121425・121426: 宛先アドレスの解釈ずれで、許可ドメインの確認をすり抜けて別の宛先に届く恐れ（CVSS v4 8.3）" url: https://n-t-p.io/worldsecurity/articles/nodemailer-cve-2026-121424-121425-121426-addressparser-recipient-confusion lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121424, CVE-2026-121425, CVE-2026-121426 --- # Nodemailer 10.1.4 未満 CVE-2026-121424・121425・121426: 宛先アドレスの解釈ずれで、許可ドメインの確認をすり抜けて別の宛先に届く恐れ（CVSS v4 8.3） > **TL;DR:** Nodemailer 3.0.0 以上 10.1.4 未満で、宛先を読む部品が規格とずれて、確認を通った宛先とは別のアドレスに届く恐れがある 3 件。CVSS v4 8.3（v3.1 6.5）。修正版は 10.1.4。悪用の有無は未確認。 **要点** - コメントの入れ子・グループ内の `;`・引用符内の `>` の 3 通りで addressparser が宛先を誤読し、許可ドメインの確認をすり抜けて別の宛先に届く、または受信メールの送信者を取り違える恐れがある。 - 認証は不要だが、規格どおりのパーサーで確認する構成が前提（AC:H・AT:P）。CVSS v4 8.3・v3.1 6.5（VulnCheck 評価）のため high。GitHub の勧告は Moderate。KEV 掲載なし、EPSS は 0.22〜0.34%。 - 修正版は 10.1.4。まず版を確認して更新する。更新できないときは宛先の入力値の制限が考えられる。 - 悪用の有無・利用規模・NVD の最終評価は未確認。 Node.js のメール送信ライブラリ Nodemailer の 3.0.0 以上 10.1.4 未満で、宛先アドレスを読み取る部品（addressparser）に解釈の誤りが 3 件登録されました（CVE-2026-121424・CVE-2026-121425・CVE-2026-121426）。RFC 5322（メールアドレスの書式の規格）では正しく読める細工したアドレスを、Nodemailer が別のアドレスとして読み、「自社ドメイン宛てだけ許可」といった確認を通ったあとに、攻撃者の用意した宛先へメールが届く恐れがあります。NVD への登録は 2026-11-03（状態は Awaiting Analysis）です。CVSS は登録元の VulnCheck の評価で、NVD 自身の最終評価はまだありません。 ## 何が起きるか 3 件とも、Nodemailer の読み取りが規格とずれる点が原因です。 - **CVE-2026-121424**: コメントの入れ子で最初の `)` を閉じと誤認し、残りのコメント部分を宛先として読む。例: `Victim (x(y) ) ` は規格では v@victim.com ですが、Nodemailer は evil@evil.com と読みます。 - **CVE-2026-121425**: グループ形式の宛先で、引用符やコメントの中の `;` でグループを閉じてしまい、その後ろを宛先として読む。 - **CVE-2026-121426**: 引用符で囲んだローカル部やコメントの中の `>` で `<…>` を閉じてしまい、ドメインを誤って読む。例: `<"a@evil.com>"@good.com>` は規格では good.com 宛てですが、Nodemailer は evil.com 宛てと読みます。 開発元の勧告によると、攻撃者に必要なのは、アプリが Nodemailer に渡す宛先の文字列（問い合わせ・招待フォームの入力欄など）、または mailparser で読む受信メールのヘッダーを操作できることだけで、アプリへのログインや設定の取得は要らないとされています。影響は、許可ドメインの確認の回避、メール内容が攻撃者に渡ること、受信側での送信者のなりすましです。 ## 数値と severity - CVSS v4.0: 8.3（AV:N/AC:H/AT:P/PR:N/UI:N、機密性高・完全性低）。CVSS v3.1: 6.5（AV:N/AC:H/PR:N/UI:N、機密性高・完全性低）。いずれも VulnCheck の評価で、3 件とも同じ値です。 - 認証は不要ですが、攻撃が通るには、アプリが「規格どおりのパーサーで確認したあと Nodemailer で送る」構成であることが前提です（AC:H・AT:P）。CVSS 9 未満のため、基準どおり severity は high とします。GitHub の勧告は 3 件とも Moderate としています。 - CISA の KEV には載っていません（確認時点の公開カタログ）。FIRST の EPSS は 0.22〜0.34%（2026-11-04 時点）です。 ## 修正の状況 - 修正版は Nodemailer 10.1.4 です。勧告は 2026-10-19 付けで、影響範囲は 3.0.0 以上 10.1.3 以下とされています。 - 勧告には、同じ形の問題（エスケープした `)`）を 10.1.2 で直したとの記述があります。 ## 対策として考えられること 1. `npm ls nodemailer` などで、自分のアプリと依存先で使っている Nodemailer の版を確認します（mailparser など Nodemailer に依存する部品も対象になりえます）。 2. 10.1.4 以上に更新します。 3. すぐに更新できない場合は、宛先の入力欄に `(`・`)`・`;`・`>` を含む値を拒否する、宛先を「ローカル部@ドメイン」の単純な形に限定して確認する、といった方法が考えられます（有効性は未確認で、推定です）。 4. 「許可ドメイン宛てだけ送る」処理がある場合は、確認に使うパーサーと送信に使うパーサーを同じものにそろえます。 ## 未確認の点 - 実際の悪用の有無と、公開された概念実証（PoC）の有無（勧告には検証用のコードが載っていますが、実環境での再現は確認していません）。 - 利用規模と、実際にどのアプリで攻撃が通るか。 - NVD の最終評価（現在は登録元の評価のみ）。 ## 出典 - [NVD CVE-2026-121424](https://nvd.nist.gov/vuln/detail/CVE-2026-121424) — NIST NVD - [NVD CVE-2026-121425](https://nvd.nist.gov/vuln/detail/CVE-2026-121425) — NIST NVD - [NVD CVE-2026-121426](https://nvd.nist.gov/vuln/detail/CVE-2026-121426) — NIST NVD - [Nodemailer 勧告 GHSA-8c8m-p3m8-cjg8（121424）](https://github.com/nodemailer/nodemailer/security/advisories/GHSA-8c8m-p3m8-cjg8) — Nodemailer 開発元（GitHub） - [Nodemailer 勧告 GHSA-m943-m63m-w62w（121425）](https://github.com/nodemailer/nodemailer/security/advisories/GHSA-m943-m63m-w62w) — Nodemailer 開発元（GitHub） - [Nodemailer 勧告 GHSA-85x2-q946-cp5h（121426）](https://github.com/nodemailer/nodemailer/security/advisories/GHSA-85x2-q946-cp5h) — Nodemailer 開発元（GitHub） - [VulnCheck アドバイザリー（121426）](https://www.vulncheck.com/advisories/nodemailer-3.0.0-before-10.1.4-recipient-domain-confusion-via-addressparser) — VulnCheck - [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-121424,CVE-2026-121425,CVE-2026-121426) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/nodemailer-cve-2026-121424-121425-121426-addressparser-recipient-confusion