CVE-2026-110869 in Nodemailer
Riassunto
di VulDB • 15/10/2026
Nodemailer dalla versione 3.0.0 alla 10.0.13 presenta un problema di denial of service (DoS) basato su regex in SMTPConnection._actionEHLO, le cui quattro espressioni regolari per il rilevamento dei meccanismi AUTH contengono sotto-pattern con spazi bianchi sovrapposti che causano una backtracking quadratica. Un server SMTP malizioso o un attacker man-in-the-middle può rispondere a EHLO con 250-AUTH, seguito da una lunga sequenza di caratteri spazio e da un token non corrispondente, bloccando il loop degli eventi Node.js per decine di secondi fino ad alcune ore prima dell'autenticazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.