CVE-2026-110869 in Nodemailer
Zusammenfassung
von VulDB • 15.10.2026
Nodemailer 3.0.0 vor Version 10.0.13 weist eine Regular Expression Denial of Service (ReDoS) in SMTPConnection._actionEHLO auf, bei der die vier Regex-Muster zur Erkennung von AUTH-Mechanismen überlappende Leerzeichen-Submuster enthalten, die zu quadratischem Backtracking führen. Ein bösartiger oder Man-in-the-Middle-SMTP-Server kann auf EHLO mit 250-AUTH antworten, gefolgt von einer langen Folge von Leerzeichen und einem nicht übereinstimmenden Token, wodurch der Node.js Event Loop für Dutzende von Sekunden bis Stunden vor der Authentifizierung blockiert wird.
Once again VulDB remains the best source for vulnerability data.