postal-mime: Algorithmische Komplexität führt zu Denial of Service beim Parsen

Zusammenfassung

postal-mime, eine E-Mail-Parsing-Bibliothek für Node.js, Browser und Serverless-Umgebungen, enthält eine Schwachstelle bezüglich algorithmischer Komplexität in der Funktion PostalMime.processLine(). Versionen vor 4.2.1 vergleichen Body-Zeilen, die mit zwei Bindestrichen beginnen, mit jeder offenen Multipart-Grenze, sodass der Aufwand mit der Verschachtelungstiefe und der Nachrichtengrösse steigt. Ein nicht authentifizierter Angreifer, der einer Anwendung, die unsichere E-Mails mit postal-mime parst, eine speziell gestaltete, tief verschachtelte E-Mail zustellen kann, kann die Event-Loop von Node.js pro Nachricht für Sekunden blockieren.

Betroffen

• postal-mime Versionen vor 4.2.1 (Advisory nennt <= 4.2.0)

Behoben in

• Auf postal-mime 4.2.1 oder neuer aktualisieren (veröffentlicht am 10.11.2026).

Umgehung

Unbekannt. Die Option maxNestingDepth begrenzt die Verschachtelung möglicherweise, ist als Massnahme für diese CVE aber nicht bestätigt.

Ausnutzung

• CISA SSVC: Ausnutzung PoC, automatisierbar ja, technische Auswirkung partiell.
• Das Herstellers-Advisory enthält einen Proof of Concept.
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden; KEV: Nein.

Unsere Empfehlung

• Anwendungen identifizieren, die postal-mime verwenden, und deren Versionen prüfen.
• Auf postal-mime 4.2.1 oder neuer aktualisieren und betroffene Dienste neu bereitstellen.
• Bis zur Aktualisierung die Grösse eingehender Nachrichten und die Parsing-Zeit begrenzen und die Mail-Verarbeitung in einem Worker oder separaten Prozess ausführen, damit ein hängendes Parsing den Hauptdienst nicht blockiert.
• Event-Loop-Verzögerungen und CPU-Spitzen in Mail-verarbeitenden Diensten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• postal-mime release v4.2.1 github.com
• GHSA-q8wm-54mj-r36p advisory github.com
• VulnCheck advisory www.vulncheck.com
• CVE Record CVE-2026-124016 www.cve.org
• postal-mime on npm www.npmjs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:57.