Veille sécuritéBackend & données
P4Moyenne
postal-mime présente une vulnérabilité de déni de service permettant à un attaquant distant non authentifié de provoquer une forte consommation CPU avec un courriel multipart profondément imbriqué. Le traitement peut bloquer la boucle d’événements Node.js pendant plusieurs secondes par message; la version 4.2.1 corrige le problème.
Node.js
IdentifiantCVE-2026-124016
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.2.1
Source : NVD — CVE-2026-124016
Analyse technique
Des lignes de boundary partageant de longs préfixes, combinées à une imbrication pouvant atteindre la limite par défaut de 256, augmentent le coût d’analyse de PostalMime.processLine().
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période figée, le 2026-11-10 à 20:19:04Z.
ImpactConsommation excessive de CPU et blocage de la boucle d’événements Node.js lors du traitement d’un message malveillant.
Versions affectéespostal-mime antérieur à 4.2.1
Version corrigée4.2.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-11-10T20:19:04.337Z
Mise à jour2026-11-10T21:19:06.983Z
Action recommandée
Mettre à jour postal-mime vers la version 4.2.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).