Nome do software vulnerável e versões afetadas:

nodemailer (versões afetadas não especificadas)

Descrição:

Uma vulnerabilidade ReDoS ocorre quando o nodemailer tenta analisar arquivos img com o parâmetro attachDataUrls definido, fazendo com que o ciclo de eventos fique travado. Outra falha foi encontrada quando o nodemailer tenta analisar anexos com um arquivo incorporado, também fazendo com que o ciclo de eventos fique travado. O problema envolve padrões de expressão regular específicos, incluindo /^data:((?:[^;]*;)*(?:[^,]*)),(.*)$/ e /(<imgb[^>]* srcs*=[s"']*)(data:([^;]+); [^"'>s]+)/, e afeta funções como compile, getAttachments, processDataUrl e convertDataImages. Um e-mail especialmente criado pode causar esse problema, levando ao travamento do loop de eventos.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.