Bibu123456

Um invasor não autenticado pode causar a negação de serviço ao fornecer uma mensagem PEM longa e malformada para qualquer parser de alto nível. Isso ocorre porque a função `pem.decode()` em `lib/pem.js` utiliza expressões regulares de tempo polinomial ao analisar cabeçalhos encapsulados e procurar por uma linha END correspondente, resultando em consumo excessivo de CPU.

Existe um Denial of Service de Expressão Regular (ReDoS) no validador de esquema `mailto:`. Ao utilizar as funções `.test()` ou `.match()`, o validador é acionado a cada ocorrência de `mailto:`. A variável `src email name` em `lib/re.mjs` verifica avidamente o restante do texto de entrada, resultando em um consumo de CPU quadrático O(n^2). Um invasor não autenticado pode explorar isso fornecendo textos manipulados, como strings `mailto:` repetidas, o que pode bloquear o loop de eventos de thread única por vários segundos e tornar o serviço indisponível.

A função `parse()` finaliza os tokens analisados usando `Array.prototype.concat` como um acumulador de redução, o que faz com que todo o array crescente seja realocado e copiado a cada iteração. Isso resulta em uma complexidade de tempo quadrática em relação ao número de tokens de entrada. Um invasor que forneça uma string controlada para qualquer caminho de código que chame `parse()` pode bloquear o loop de eventos de thread única do Node.js por um período prolongado, resultando em uma negação de serviço. Este problema afeta a disponibilidade e não permite a execução de código ou a divulgação de dados.