Nodemailer : déni de service par retour arrière quadratique des expressions SMTP AUTH

Veille sécuritéBackend & données

P4Moyenne

Des expressions régulières utilisées pour détecter les mécanismes SMTP AUTH dans la réponse EHLO peuvent subir un retour arrière quadratique lorsqu’une ligne contient une longue séquence d’espaces sans mécanisme correspondant. Un serveur SMTP malveillant ou un attaquant intermédiaire peut ainsi bloquer la boucle d’événements Node.js avant authentification; la correction est disponible dans Nodemailer 10.0.13.

IdentifiantAvis de sécurité

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif10.0.13

Source : GitHub Advisory — GHSA-4ffr-jq9g-5ffx

Analyse technique

Quatre expressions régulières de `SMTPConnection._actionEHLO` comportent des sous-motifs qui se chevauchent sur les espaces. En l’absence d’un mécanisme correspondant, le moteur peut explorer de nombreuses partitions de la séquence avant d’échouer.

Impact, versions et correctif

Événement datéL’avis GitHub a été publié le 2026-10-27 dans la période retenue.

ImpactLe traitement synchrone de la réponse peut bloquer l’ensemble du processus Node.js; le délai d’expiration de socket ne peut pas interrompre ce traitement.

Versions affectées>= 3.0.0, <= 10.0.12

Version corrigée10.0.13

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.9

Publication2026-10-27T15:04:39Z

Mise à jour2026-10-27T15:04:41Z

Action recommandée

Mettre à niveau Nodemailer vers 10.0.13 ou une version ultérieure.

Sources

GitHub Advisory — GHSA-4ffr-jq9g-5ffx

Priorisation DFS : P4 · 1 source(s).