Nodemailer versions 9.1.0 through 10.0.4 contain a quadratic time complexity vulnerability in the addressparser component when parsing email addresses with RFC 5322 comments. Attackers can craft malicious email headers with comment-separated atoms to consume excessive CPU and block the Node.js event loop for several seconds, causing denial of service.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Nodemailer Nodemailer
cpe:2.3:a:nodemailer:nodemailer:*:*:*:*:*:*:*:*
|
9.1.0
|
10.0.5
|
Ссылки 6
https://github.com/nodemailer/nodemailer/security/advisories/GHSA-prgh-xp8r-p3m5
GitHub Security Advisory (GHSA-prgh-xp8r-p3m5)
https://github.com/nodemailer/nodemailer/commit/c07f17518d25aca8ab2ad66968dcbca…
Patch Commit
https://github.com/nodemailer/nodemailer/blob/v10.0.4/src/addressparser/index.t…
Vulnerable join check in addressparser at v10.0.4
https://github.com/nodemailer/nodemailer/releases/tag/v10.0.5
nodemailer v10.0.5 Release Notes
https://github.com/nodemailer/nodemailer
NVD
https://www.vulncheck.com/advisories/nodemailer-9.1.0-through-10.0.4-denial-of-…
VulnCheck Advisory: Nodemailer 9.1.0 through 10.0.4 Denial of Service via Quadratic Address Parsing