CVE-2026-92596

Nome do Software Vulnerável e Versões Afetadas Nodemailer versões anteriores a 9.1.0

Description O Nodemailer contém um problema de complexidade de tempo quadrática em seu componente addressparser. Ao analisar uma lista de endereços separados por vírgula, o analisador utiliza Array.prototype.concat para acumular os resultados, o que faz com que o consumo de CPU cresça proporcionalmente ao quadrado do comprimento da entrada. Esse comportamento bloqueia o loop de eventos de thread única do Node.js, levando ao uso de 100% da CPU e congelando o processo, resultando em uma negação de serviço para todas as outras requisições.

Este problema pode ser acionado por meio de cabeçalhos de endereços estruturados, como To, Cc, Bcc, From ou Reply-To, ou pelo uso direto do módulo exportado addressparser. Por exemplo, um valor de endereço de aproximadamente 1,5 MB pode congelar o processo por 25 a 30 segundos.

Recommendations Atualize o Nodemailer para a versão 9.1.0 ou posterior. Como mitigação temporária, restrinja o comprimento das strings de endereço fornecidas pelo usuário ou limite o número de destinatários permitidos nos cabeçalhos de e-mail antes que sejam processados pelo analisador.