PT-2026-114183 · Git+1 · Nodemailer
CVSS v4.0
8.7
عالية
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Nodemailer الإصدارات من 3.0.0 إلى 10.0.12
Description
توجد ثغرة حجب الخدمة عبر التعبيرات النمطية في الدالة
SMTPConnection. actionEHLO(). تحتوي تعبيرات الكشف عن آلية AUTH الأربعة على أنماط فرعية متداخلة من المسافات البيضاء تؤدي إلى تراجع تربيعي (quadratic backtracking). يمكن لخادم SMTP خبيث أو مهاجم في المنتصف (man-in-the-middle) استغلال ذلك من خلال الرد على EHLO بـ 250-AUTH، متبوعاً بسلسلة طويلة من المسافات البيضاء ورمز غير مطابق، مما يؤدي إلى حظر حلقة أحداث Node.js لمدد تتراوح من عشرات الثواني إلى عدة ساعات قبل إتمام عملية المصادقة.Recommendations
التحديث إلى الإصدار 10.0.13 أو أحدث.
استغلال
إصلاح
DoS
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Nodemailer