Le parseur DKIM de Nodemailer traite les lignes de continuation d’en-tête avec une complexité quadratique. Un en-tête très long comportant de nombreuses lignes pliées peut ainsi bloquer la boucle événementielle pendant la signature, si l’application autorise ces données et que DKIM est activé.
Source : GHSA-39m8-27wv-hr27 — Nodemailer
Analyse technique
Lors du dépliage, le parseur reteste une expression régulière sur la ligne accumulée à chaque continuation ; les opérations répétées conduisent à un coût quadratique en fonction du nombre de lignes.
Impact, versions et correctif
Détection / vérification
Vérifier si DKIM est activé dans Nodemailer et si des données contrôlables par un utilisateur peuvent produire de grands en-têtes pliés lors de la signature.
Action recommandée
Mettre à niveau vers Nodemailer 10.0.10 ou ultérieur. En complément, limiter la taille des en-têtes et le nombre de destinataires contrôlables par les utilisateurs.
Sources
Priorisation DFS : P4 · 1 source(s).