CVE-2026-110869

Nome do Software Vulnerável e Versões Afetadas Nodemailer versões 3.0.0 até 10.0.12

Description Existe uma negação de serviço por expressão regular na função SMTPConnection. actionEHLO(). As quatro regex de detecção de mecanismo AUTH contêm subpadrões de espaço em branco sobrepostos que causam backtracking quadrático. Um servidor SMTP malicioso ou um atacante man-in-the-middle pode desencadear isso respondendo ao EHLO com 250-AUTH, seguido por uma longa sequência de espaços em branco e um token não correspondente, bloqueando o loop de eventos do Node.js por períodos que variam de dezenas de segundos a várias horas antes da autenticação.

Recommendations Atualize para a versão 10.0.13 ou posterior.