Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADDetectada 14 OCT · 21:23

CVE-2026-110871 Denegación de servicio por complejidad cuadrática en Nodemailer al desplegar cabeceras DKIM

Nodemailer desde 3.0.0 hasta antes de 10.0.10 tiene una denegación de servicio en MessageParser.parseHeaders que permite agotar CPU mediante el despliegue cuadrático de cabeceras. Listas de destinatarios grandes o cabeceras largas con decenas de miles de líneas de continuación bloquean el event loop de Node.js durante la firma DKIM. Corregido en 10.0.10.

6.5MEDIA

CVSS 3.1

  • CVSS 4.07.1 · alta
  • Probabilidad de explotación0,3 %
  • Explotada activamenteNo confirmada
  • Exploit públicoNo conocido

Afectados

  • nodemailer

    desde 3.0.0 hasta antes de 10.0.10

Qué hacer

  1. Verificá si usás nodemailer y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadNinguna
  • IntegridadNinguna
  • DisponibilidadAlta

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Ninguna
  • Integridad (sistema vulnerable)Ninguna
  • Disponibilidad (sistema vulnerable)Alta
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Nodemailer from 3.0.0 before 10.0.10 contains a denial of service vulnerability in MessageParser.parseHeaders that allows users to exhaust CPU through quadratic header unfolding. Attackers can supply large recipient lists or long headers that fold into tens of thousands of continuation lines, blocking the Node.js event loop during DKIM signing.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.