CVE-2026-110869
CVE-2026-110869 · Nodemailer 3.0.0 before 10.0.13 ReDoS via SMTP AUTH Mechanism Detection Regexes
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Nodemailer 3.0.0 before 10.0.13 has a regular expression denial of service in SMTPConnection._actionEHLO, whose four AUTH mechanism detection regexes contain overlapping whitespace sub-patterns that backtrack quadratically. A malicious or man-in-the-middle SMTP server can reply to EHLO with 250-AUTH, a long whitespace run and a non-matching token, blocking the Node.js event loop for tens of seconds to hours before authentication.
CVSS 8.7 · Alta · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · node
Productos y versiones afectados
nodemailer
- Versiones
- ≥ 3.0.0, < 10.0.13: Afectada (semver)
- 10.0.13: No afectada (semver)
Actualiza a 10.0.13
node-nodemailer Debian:12
- Versiones
- 10.0.0+~8.0.1-1
- 10.0.10+~8.0.1-1
- 10.0.10+~8.0.2-1
- 10.0.13+~8.0.2-1
- 10.0.14+~8.0.2-1
- 10.1.7+~8.0.2-1
- 6.10.0+~6.4.17-1
- 6.8.0+~6.4.6-1
- 6.9.13+~6.4.14-1
- 6.9.15+~6.4.16-1
- 6.9.16+~6.4.16-1
- 6.9.4+~6.4.9-1
- 6.9.4+~6.4.9-2
- 6.9.4+~6.4.9-3
- 6.9.4+~6.4.9-4
- 7.0.10+~7.0.2-1
- 7.0.12+~7.0.5-1
- 7.0.5+~7.0.1-1
- 7.0.6+~7.0.1-1
- 7.0.9+~7.0.2-1
- 7.0.9+~7.0.2-2
- 8.0.11+~8.0.1-1
- 8.0.2+~7.0.11-1
- 8.0.3+~7.0.11-1
- 8.0.4+~7.0.11-1
- 8.0.4+~7.0.11-2
- 9.0.0+~8.0.1-1
- 9.0.3+~8.0.1-1
- 9.0.5+~8.0.1-1
- 9.0.6+~8.0.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Debian:13
- Versiones
- 10.0.0+~8.0.1-1
- 10.0.10+~8.0.1-1
- 10.0.10+~8.0.2-1
- 10.0.13+~8.0.2-1
- 10.0.14+~8.0.2-1
- 10.1.7+~8.0.2-1
- 6.10.0+~6.4.17-1
- 6.10.0+~6.4.17-1+deb13u1
- 7.0.10+~7.0.2-1
- 7.0.12+~7.0.5-1
- 7.0.5+~7.0.1-1
- 7.0.6+~7.0.1-1
- 7.0.9+~7.0.2-1
- 7.0.9+~7.0.2-2
- 8.0.11+~8.0.1-1
- 8.0.2+~7.0.11-1
- 8.0.3+~7.0.11-1
- 8.0.4+~7.0.11-1
- 8.0.4+~7.0.11-2
- 9.0.0+~8.0.1-1
- 9.0.3+~8.0.1-1
- 9.0.5+~8.0.1-1
- 9.0.6+~8.0.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Debian:14
- Versiones
- 10.0.0+~8.0.1-1
- 10.0.10+~8.0.1-1
- 10.0.10+~8.0.2-1
- 6.10.0+~6.4.17-1
- 7.0.10+~7.0.2-1
- 7.0.12+~7.0.5-1
- 7.0.5+~7.0.1-1
- 7.0.6+~7.0.1-1
- 7.0.9+~7.0.2-1
- 7.0.9+~7.0.2-2
- 8.0.11+~8.0.1-1
- 8.0.2+~7.0.11-1
- 8.0.3+~7.0.11-1
- 8.0.4+~7.0.11-1
- 8.0.4+~7.0.11-2
- 9.0.0+~8.0.1-1
- 9.0.3+~8.0.1-1
- 9.0.5+~8.0.1-1
- 9.0.6+~8.0.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: < 10.0.13+~8.0.2-1
Actualiza a 10.0.13+~8.0.2-1
nodemailer npm
- Intervalos de versiones afectados
- SEMVER: ≥ 3.0.0, < 10.0.13
Actualiza a 10.0.13
node-nodemailer Ubuntu:20.04:LTS
- Versiones
- 6.3.0-2
- 6.3.1-1
- 6.4.0-1
- 6.4.1-1
- 6.4.2-1
- 6.4.5-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Ubuntu:22.04:LTS
- Versiones
- 6.4.17-3
- 6.7.0-1
- 6.7.0-2
- 6.7.1+~6.4.4-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Ubuntu:24.04:LTS
- Versiones
- 6.9.4+~6.4.9-2
- 6.9.4+~6.4.9-3ubuntu1
- 6.9.4+~6.4.9-4
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Ubuntu:26.10
- Versiones
- 8.0.4+~7.0.11-1
- 8.0.4+~7.0.11-2
- 9.0.0+~8.0.1-1
- 9.0.3+~8.0.1-1
- 9.0.5+~8.0.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
node-nodemailer Ubuntu:26.04:LTS
- Versiones
- 7.0.5+~7.0.1-1
- 7.0.9+~7.0.2-2
- 7.0.10+~7.0.2-1
- 7.0.12+~7.0.5-1
- 8.0.4+~7.0.11-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada