CVE-2026-110869
Publiée le 2026-10-14 · Dernière modification le 2026-10-16
Les applications Node.js utilisant la bibliothèque Nodemailer (versions 3.0.0 à 10.0.12) sont vulnérables à une attaque par déni de service. Un serveur SMTP malveillant ou compromis peut envoyer une réponse spécifiquement conçue lors de la phase initiale de connexion pour bloquer la boucle d'événements (event loop) de Node.js, neutralisant ainsi la capacité de votre application à traiter d'autres requêtes. Cette attaque est facile à exécuter via le réseau et ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Nodemailer 3.0.0 before 10.0.13 has a regular expression denial of service in SMTPConnection._actionEHLO, whose four AUTH mechanism detection regexes contain overlapping whitespace sub-patterns that backtrack quadratically. A malicious or man-in-the-middle SMTP server can reply to EHLO with 250-AUTH, a long whitespace run and a non-matching token, blocking the Node.js event loop for tens of seconds to hours before authentication.