What's the state of Mountebank project?

[IgorSteps]

Hi, my team has grown to love Mountebank for testing but I noticed that this repo is not looked after much. Is this project still alive? Who are the maintainers? Should we keep using it? It would be a shame if we needed to find an alternative. Thank you.

[mattherman]

Mountebank was originally written and maintained by Brandon Byars. When he decided to step back from maintaining the project in 2024 it went unmaintained until 2025 when @jarl-dk formed the mountebank-testing org and Brandon transferred ownership of the project. I was maintaining a fork at that time and joined Jarl as the other maintainer in the organization.

The project is not dead. It is continuing to be maintained, albeit sporadically, with a focus on patching security vulnerabilities. We are open to new features as well, but it may take a while for them to be merged.

We have published a few new package versions since the org was established and I am hoping to dedicate some more time to the project soon.

[IgorSteps]

I see, thank you.

I noticed that mountebank is often highlighted for CVEs due to its dependencies, e.g., here is a Trivy run for:

Latest release 2.9.4

igor ~/Projects/mountebank [(HEAD detached at v2.9.4)] $ trivy fs . --severity HIGH,CRITICAL                                         
2026-08-10T21:11:44+01:00	INFO	[vuln] Vulnerability scanning is enabled
2026-08-10T21:11:44+01:00	INFO	[secret] Secret scanning is enabled
2026-08-10T21:11:44+01:00	INFO	[secret] If your scanning is slow, please try '--scanners vuln' to disable secret scanning
2026-08-10T21:11:44+01:00	INFO	[secret] Please see https://trivy.dev/docs/v0.73/guide/scanner/secret#recommendation for faster secret detection
2026-08-10T21:11:44+01:00	INFO	[npm] Run "npm install" to collect the license information of packages	dir="mbTest/node_modules"
2026-08-10T21:11:44+01:00	INFO	[npm] Run "npm install" to collect the license information of packages	dir="node_modules"
2026-08-10T21:11:44+01:00	WARN	[npm] `package-lock.json` contains broken link with empty `resolved` field. This package will be skipped to avoid receiving an empty package	pkg="mbTest/node_modules/mountebank"
2026-08-10T21:11:44+01:00	INFO	Suppressing dependencies for development and testing. To display them, try the '--include-dev-deps' flag.
2026-08-10T21:11:44+01:00	INFO	Number of language-specific files	num=2
2026-08-10T21:11:44+01:00	INFO	[npm] Detecting vulnerabilities...

Report Summary

┌───────────────────────────────────────────┬──────┬─────────────────┬─────────┐
│                  Target                   │ Type │ Vulnerabilities │ Secrets │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ mbTest/package-lock.json                  │ npm  │       16        │    -    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ package-lock.json                         │ npm  │       12        │    -    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ mbTest/api/https/cert/key.pem             │ text │        -        │    1    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ src/models/https/cert/mb-key.pem          │ text │        -        │    1    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ src/views/docs/api/contracts/imposter.ejs │ text │        -        │    2    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ src/views/docs/protocols/https.ejs        │ text │        -        │    2    │
└───────────────────────────────────────────┴──────┴─────────────────┴─────────┘
Legend:
- '-': Not scanned
- '0': Clean (no security findings detected)


mbTest/package-lock.json (npm)

Total: 16 (HIGH: 16, CRITICAL: 0)

┌──────────────────────┬─────────────────────┬──────────┬────────┬───────────────────┬──────────────────────────────┬──────────────────────────────────────────────────────────────┐
│       Library        │    Vulnerability    │ Severity │ Status │ Installed Version │        Fixed Version         │                            Title                             │
├──────────────────────┼─────────────────────┼──────────┼────────┼───────────────────┼──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ @xmldom/xmldom       │ CVE-2026-41672      │ HIGH     │ fixed  │ 0.9.9             │ 0.8.13, 0.9.10               │ xmldom: @xmldom/xmldom: xmldom: Arbitrary XML Node Injection │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-41672                   │
│                      ├─────────────────────┤          │        │                   │                              ├──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-41673      │          │        │                   │                              │ @xmldom/xmldom: xmldom: xmldom: Denial of Service via deeply │
│                      │                     │          │        │                   │                              │ nested XML documents                                         │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-41673                   │
│                      ├─────────────────────┤          │        │                   │                              ├──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-41674      │          │        │                   │                              │ xmldom: xmldom: Arbitrary XML markup injection               │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-41674                   │
│                      ├─────────────────────┤          │        │                   │                              ├──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-41675      │          │        │                   │                              │ xmldom: xmldom: Arbitrary XML node injection via crafted     │
│                      │                     │          │        │                   │                              │ processing instructions                                      │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-41675                   │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ brace-expansion      │ CVE-2026-13149      │          │        │ 2.0.3             │ 5.0.7, 1.1.16, 2.1.2         │ brace-expansion: Brace-expansion: Denial of Service due to   │
│                      │                     │          │        │                   │                              │ exponential-time complexity                                  │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-13149                   │
│                      ├─────────────────────┤          │        │                   ├──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-14257      │          │        │                   │ 5.0.8, 3.0.3, 2.1.3, 1.1.17  │ brace-expansion: Brace-expansion: Denial of Service via      │
│                      │                     │          │        │                   │                              │ memory exhaustion in expand() function                       │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-14257                   │
│                      ├─────────────────────┤          │        │                   ├──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-69152      │          │        │                   │ 1.1.18, 2.1.4, 3.0.6, 5.0.9  │ brace-expansion: brace-expansion: Denial of Service via      │
│                      │                     │          │        │                   │                              │ unbounded intermediate arrays                                │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-69152                   │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ cross-spawn          │ CVE-2024-21538      │          │        │ 5.1.0             │ 7.0.5, 6.0.6                 │ cross-spawn: regular expression denial of service            │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2024-21538                   │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ js-yaml              │ CVE-2026-59869      │          │        │ 4.1.1             │ 3.15.0, 4.3.0                │ js-yaml: js-yaml: Denial of Service via crafted YAML         │
│                      │                     │          │        │                   │                              │ documents                                                    │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-59869                   │
│                      ├─────────────────────┤          │        │                   ├──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                      │ GHSA-5p4m-2wfm-xmqj │          │        │                   │ 4.3.1, 3.15.1                │ JS-YAML: Quadratic CPU consumption in !!omap resolution (3.x │
│                      │                     │          │        │                   │                              │ and 4.x) — CVE-2026-59870...                                 │
│                      │                     │          │        │                   │                              │ https://github.com/advisories/GHSA-5p4m-2wfm-xmqj            │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ nanoid               │ CVE-2026-67213      │          │        │ 2.1.11            │ 3.3.17, 5.1.6                │ nanoid (Nano ID) before 5.1.6 contains an infinite loop in   │
│                      │                     │          │        │                   │                              │ the customA...                                               │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-67213                   │
│                      ├─────────────────────┤          │        │                   ├──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-67214      │          │        │                   │ 3.3.16, 5.1.16               │ nanoid (Nano ID) before 5.1.16 contains an infinite loop in  │
│                      │                     │          │        │                   │                              │ the custom...                                                │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-67214                   │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ nodemailer           │ GHSA-p6gq-j5cr-w38f │          │        │ 8.0.5             │ 9.0.1                        │ Nodemailer: Message-level raw option bypasses                │
│                      │                     │          │        │                   │                              │ disableFileAccess/disableUrlAccess, enabling arbitrary file  │
│                      │                     │          │        │                   │                              │ read and full-response...                                    │
│                      │                     │          │        │                   │                              │ https://github.com/advisories/GHSA-p6gq-j5cr-w38f            │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ path-to-regexp       │ CVE-2026-4926       │          │        │ 8.3.0             │ 8.4.0                        │ path-to-regexp: path-to-regexp: Denial of Service via        │
│                      │                     │          │        │                   │                              │ crafted regular expressions                                  │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-4926                    │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ serialize-javascript │ GHSA-5c6j-r48x-rmvq │          │        │ 6.0.2             │ 7.0.3                        │ Serialize JavaScript is Vulnerable to RCE via RegExp.flags   │
│                      │                     │          │        │                   │                              │ and Date.prototype.toISOString()                             │
│                      │                     │          │        │                   │                              │ https://github.com/advisories/GHSA-5c6j-r48x-rmvq            │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼──────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ ws                   │ CVE-2026-48779      │          │        │ 8.19.0            │ 5.2.5, 6.2.4, 7.5.11, 8.21.0 │ ws: ws: Denial of Service via memory exhaustion from small   │
│                      │                     │          │        │                   │                              │ WebSocket fragments...                                       │
│                      │                     │          │        │                   │                              │ https://avd.aquasec.com/nvd/cve-2026-48779                   │
└──────────────────────┴─────────────────────┴──────────┴────────┴───────────────────┴──────────────────────────────┴──────────────────────────────────────────────────────────────┘

package-lock.json (npm)

Total: 12 (HIGH: 11, CRITICAL: 1)

┌─────────────────┬─────────────────────┬──────────┬────────┬───────────────────┬─────────────────────────────┬──────────────────────────────────────────────────────────────┐
│     Library     │    Vulnerability    │ Severity │ Status │ Installed Version │        Fixed Version        │                            Title                             │
├─────────────────┼─────────────────────┼──────────┼────────┼───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ @xmldom/xmldom  │ CVE-2026-41672      │ HIGH     │ fixed  │ 0.9.9             │ 0.8.13, 0.9.10              │ xmldom: @xmldom/xmldom: xmldom: Arbitrary XML Node Injection │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41672                   │
│                 ├─────────────────────┤          │        │                   │                             ├──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-41673      │          │        │                   │                             │ @xmldom/xmldom: xmldom: xmldom: Denial of Service via deeply │
│                 │                     │          │        │                   │                             │ nested XML documents                                         │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41673                   │
│                 ├─────────────────────┤          │        │                   │                             ├──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-41674      │          │        │                   │                             │ xmldom: xmldom: Arbitrary XML markup injection               │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41674                   │
│                 ├─────────────────────┤          │        │                   │                             ├──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-41675      │          │        │                   │                             │ xmldom: xmldom: Arbitrary XML node injection via crafted     │
│                 │                     │          │        │                   │                             │ processing instructions                                      │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41675                   │
├─────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ brace-expansion │ CVE-2026-13149      │          │        │ 2.0.3             │ 5.0.7, 1.1.16, 2.1.2        │ brace-expansion: Brace-expansion: Denial of Service due to   │
│                 │                     │          │        │                   │                             │ exponential-time complexity                                  │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-13149                   │
│                 ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-14257      │          │        │                   │ 5.0.8, 3.0.3, 2.1.3, 1.1.17 │ brace-expansion: Brace-expansion: Denial of Service via      │
│                 │                     │          │        │                   │                             │ memory exhaustion in expand() function                       │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-14257                   │
│                 ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-69152      │          │        │                   │ 1.1.18, 2.1.4, 3.0.6, 5.0.9 │ brace-expansion: brace-expansion: Denial of Service via      │
│                 │                     │          │        │                   │                             │ unbounded intermediate arrays                                │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-69152                   │
├─────────────────┼─────────────────────┼──────────┤        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ ejs             │ CVE-2022-29078      │ CRITICAL │        │ 2.7.4             │ 3.1.7                       │ ejs: server-side template injection in outputFunctionName    │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2022-29078                   │
├─────────────────┼─────────────────────┼──────────┤        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ linkify-it      │ CVE-2026-48801      │ HIGH     │        │ 5.0.0             │ 5.0.1                       │ linkify-it: linkify-it: Denial of Service via algorithmic    │
│                 │                     │          │        │                   │                             │ complexity vulnerability                                     │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-48801                   │
│                 ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-59887      │          │        │                   │ 5.0.2                       │ linkify-it: Quadratic-complexity DoS via the `mailto:`       │
│                 │                     │          │        │                   │                             │ validator scan-loop on attacker text                         │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-59887                   │
├─────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ nodemailer      │ GHSA-p6gq-j5cr-w38f │          │        │ 8.0.5             │ 9.0.1                       │ Nodemailer: Message-level raw option bypasses                │
│                 │                     │          │        │                   │                             │ disableFileAccess/disableUrlAccess, enabling arbitrary file  │
│                 │                     │          │        │                   │                             │ read and full-response...                                    │
│                 │                     │          │        │                   │                             │ https://github.com/advisories/GHSA-p6gq-j5cr-w38f            │
├─────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ path-to-regexp  │ CVE-2026-4926       │          │        │ 8.2.0             │ 8.4.0                       │ path-to-regexp: path-to-regexp: Denial of Service via        │
│                 │                     │          │        │                   │                             │ crafted regular expressions                                  │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-4926                    │
└─────────────────┴─────────────────────┴──────────┴────────┴───────────────────┴─────────────────────────────┴──────────────────────────────────────────────────────────────┘

And main

igor ~/Projects/mountebank [master] $ trivy fs . --severity HIGH,CRITICAL
2026-08-10T21:08:28+01:00	INFO	[vulndb] Need to update DB
2026-08-10T21:08:28+01:00	INFO	[vulndb] Downloading vulnerability DB...
2026-08-10T21:08:28+01:00	INFO	[vulndb] Downloading artifact...	repo="mirror.gcr.io/aquasec/trivy-db:2"
103.97 MiB / 103.97 MiB [--------------------------------------------------------------------------------------------] 100.00% 9.76 MiB p/s 11s
2026-08-10T21:08:42+01:00	INFO	[vulndb] Artifact successfully downloaded	repo="mirror.gcr.io/aquasec/trivy-db:2"
2026-08-10T21:08:42+01:00	INFO	[vuln] Vulnerability scanning is enabled
2026-08-10T21:08:42+01:00	INFO	[secret] Secret scanning is enabled
2026-08-10T21:08:42+01:00	INFO	[secret] If your scanning is slow, please try '--scanners vuln' to disable secret scanning
2026-08-10T21:08:42+01:00	INFO	[secret] Please see https://trivy.dev/docs/v0.73/guide/scanner/secret#recommendation for faster secret detection
2026-08-10T21:08:42+01:00	INFO	[npm] Run "npm install" to collect the license information of packages	dir="mbTest/node_modules"
2026-08-10T21:08:42+01:00	INFO	[npm] Run "npm install" to collect the license information of packages	dir="node_modules"
2026-08-10T21:08:42+01:00	WARN	[npm] `package-lock.json` contains broken link with empty `resolved` field. This package will be skipped to avoid receiving an empty package	pkg="mbTest/node_modules/mountebank"
2026-08-10T21:08:42+01:00	INFO	Suppressing dependencies for development and testing. To display them, try the '--include-dev-deps' flag.
2026-08-10T21:08:42+01:00	INFO	Number of language-specific files	num=2
2026-08-10T21:08:42+01:00	INFO	[npm] Detecting vulnerabilities...

Report Summary

┌───────────────────────────────────────────┬──────┬─────────────────┬─────────┐
│                  Target                   │ Type │ Vulnerabilities │ Secrets │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ mbTest/package-lock.json                  │ npm  │       15        │    -    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ package-lock.json                         │ npm  │       12        │    -    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ mbTest/api/https/cert/key.pem             │ text │        -        │    1    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ src/models/https/cert/mb-key.pem          │ text │        -        │    1    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ src/views/docs/api/contracts/imposter.ejs │ text │        -        │    2    │
├───────────────────────────────────────────┼──────┼─────────────────┼─────────┤
│ src/views/docs/protocols/https.ejs        │ text │        -        │    2    │
└───────────────────────────────────────────┴──────┴─────────────────┴─────────┘
Legend:
- '-': Not scanned
- '0': Clean (no security findings detected)


mbTest/package-lock.json (npm)

Total: 15 (HIGH: 15, CRITICAL: 0)

┌──────────────────────┬─────────────────────┬──────────┬────────┬───────────────────┬─────────────────────────────┬──────────────────────────────────────────────────────────────┐
│       Library        │    Vulnerability    │ Severity │ Status │ Installed Version │        Fixed Version        │                            Title                             │
├──────────────────────┼─────────────────────┼──────────┼────────┼───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ @xmldom/xmldom       │ CVE-2026-41672      │ HIGH     │ fixed  │ 0.9.9             │ 0.8.13, 0.9.10              │ xmldom: @xmldom/xmldom: xmldom: Arbitrary XML Node Injection │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41672                   │
│                      ├─────────────────────┤          │        │                   │                             ├──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-41673      │          │        │                   │                             │ @xmldom/xmldom: xmldom: xmldom: Denial of Service via deeply │
│                      │                     │          │        │                   │                             │ nested XML documents                                         │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41673                   │
│                      ├─────────────────────┤          │        │                   │                             ├──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-41674      │          │        │                   │                             │ xmldom: xmldom: Arbitrary XML markup injection               │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41674                   │
│                      ├─────────────────────┤          │        │                   │                             ├──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-41675      │          │        │                   │                             │ xmldom: xmldom: Arbitrary XML node injection via crafted     │
│                      │                     │          │        │                   │                             │ processing instructions                                      │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41675                   │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ brace-expansion      │ CVE-2026-13149      │          │        │ 2.0.3             │ 5.0.7, 1.1.16, 2.1.2        │ brace-expansion: Brace-expansion: Denial of Service due to   │
│                      │                     │          │        │                   │                             │ exponential-time complexity                                  │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-13149                   │
│                      ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-14257      │          │        │                   │ 5.0.8, 3.0.3, 2.1.3, 1.1.17 │ brace-expansion: Brace-expansion: Denial of Service via      │
│                      │                     │          │        │                   │                             │ memory exhaustion in expand() function                       │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-14257                   │
│                      ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-69152      │          │        │                   │ 1.1.18, 2.1.4, 3.0.6, 5.0.9 │ brace-expansion: brace-expansion: Denial of Service via      │
│                      │                     │          │        │                   │                             │ unbounded intermediate arrays                                │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-69152                   │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ cross-spawn          │ CVE-2024-21538      │          │        │ 5.1.0             │ 7.0.5, 6.0.6                │ cross-spawn: regular expression denial of service            │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2024-21538                   │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ js-yaml              │ CVE-2026-59869      │          │        │ 4.1.1             │ 3.15.0, 4.3.0               │ js-yaml: js-yaml: Denial of Service via crafted YAML         │
│                      │                     │          │        │                   │                             │ documents                                                    │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-59869                   │
│                      ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                      │ GHSA-5p4m-2wfm-xmqj │          │        │                   │ 4.3.1, 3.15.1               │ JS-YAML: Quadratic CPU consumption in !!omap resolution (3.x │
│                      │                     │          │        │                   │                             │ and 4.x) — CVE-2026-59870...                                 │
│                      │                     │          │        │                   │                             │ https://github.com/advisories/GHSA-5p4m-2wfm-xmqj            │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ nanoid               │ CVE-2026-67213      │          │        │ 2.1.11            │ 3.3.17, 5.1.6               │ nanoid (Nano ID) before 5.1.6 contains an infinite loop in   │
│                      │                     │          │        │                   │                             │ the customA...                                               │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-67213                   │
│                      ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                      │ CVE-2026-67214      │          │        │                   │ 3.3.16, 5.1.16              │ nanoid (Nano ID) before 5.1.16 contains an infinite loop in  │
│                      │                     │          │        │                   │                             │ the custom...                                                │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-67214                   │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ nodemailer           │ GHSA-p6gq-j5cr-w38f │          │        │ 8.0.5             │ 9.0.1                       │ Nodemailer: Message-level raw option bypasses                │
│                      │                     │          │        │                   │                             │ disableFileAccess/disableUrlAccess, enabling arbitrary file  │
│                      │                     │          │        │                   │                             │ read and full-response...                                    │
│                      │                     │          │        │                   │                             │ https://github.com/advisories/GHSA-p6gq-j5cr-w38f            │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ path-to-regexp       │ CVE-2026-4926       │          │        │ 8.3.0             │ 8.4.0                       │ path-to-regexp: path-to-regexp: Denial of Service via        │
│                      │                     │          │        │                   │                             │ crafted regular expressions                                  │
│                      │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-4926                    │
├──────────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ serialize-javascript │ GHSA-5c6j-r48x-rmvq │          │        │ 6.0.2             │ 7.0.3                       │ Serialize JavaScript is Vulnerable to RCE via RegExp.flags   │
│                      │                     │          │        │                   │                             │ and Date.prototype.toISOString()                             │
│                      │                     │          │        │                   │                             │ https://github.com/advisories/GHSA-5c6j-r48x-rmvq            │
└──────────────────────┴─────────────────────┴──────────┴────────┴───────────────────┴─────────────────────────────┴──────────────────────────────────────────────────────────────┘

package-lock.json (npm)

Total: 12 (HIGH: 11, CRITICAL: 1)

┌─────────────────┬─────────────────────┬──────────┬────────┬───────────────────┬─────────────────────────────┬──────────────────────────────────────────────────────────────┐
│     Library     │    Vulnerability    │ Severity │ Status │ Installed Version │        Fixed Version        │                            Title                             │
├─────────────────┼─────────────────────┼──────────┼────────┼───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ @xmldom/xmldom  │ CVE-2026-41672      │ HIGH     │ fixed  │ 0.9.9             │ 0.8.13, 0.9.10              │ xmldom: @xmldom/xmldom: xmldom: Arbitrary XML Node Injection │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41672                   │
│                 ├─────────────────────┤          │        │                   │                             ├──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-41673      │          │        │                   │                             │ @xmldom/xmldom: xmldom: xmldom: Denial of Service via deeply │
│                 │                     │          │        │                   │                             │ nested XML documents                                         │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41673                   │
│                 ├─────────────────────┤          │        │                   │                             ├──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-41674      │          │        │                   │                             │ xmldom: xmldom: Arbitrary XML markup injection               │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41674                   │
│                 ├─────────────────────┤          │        │                   │                             ├──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-41675      │          │        │                   │                             │ xmldom: xmldom: Arbitrary XML node injection via crafted     │
│                 │                     │          │        │                   │                             │ processing instructions                                      │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-41675                   │
├─────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ brace-expansion │ CVE-2026-13149      │          │        │ 2.0.3             │ 5.0.7, 1.1.16, 2.1.2        │ brace-expansion: Brace-expansion: Denial of Service due to   │
│                 │                     │          │        │                   │                             │ exponential-time complexity                                  │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-13149                   │
│                 ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-14257      │          │        │                   │ 5.0.8, 3.0.3, 2.1.3, 1.1.17 │ brace-expansion: Brace-expansion: Denial of Service via      │
│                 │                     │          │        │                   │                             │ memory exhaustion in expand() function                       │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-14257                   │
│                 ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-69152      │          │        │                   │ 1.1.18, 2.1.4, 3.0.6, 5.0.9 │ brace-expansion: brace-expansion: Denial of Service via      │
│                 │                     │          │        │                   │                             │ unbounded intermediate arrays                                │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-69152                   │
├─────────────────┼─────────────────────┼──────────┤        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ ejs             │ CVE-2022-29078      │ CRITICAL │        │ 2.7.4             │ 3.1.7                       │ ejs: server-side template injection in outputFunctionName    │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2022-29078                   │
├─────────────────┼─────────────────────┼──────────┤        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ linkify-it      │ CVE-2026-48801      │ HIGH     │        │ 5.0.0             │ 5.0.1                       │ linkify-it: linkify-it: Denial of Service via algorithmic    │
│                 │                     │          │        │                   │                             │ complexity vulnerability                                     │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-48801                   │
│                 ├─────────────────────┤          │        │                   ├─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                 │ CVE-2026-59887      │          │        │                   │ 5.0.2                       │ linkify-it: Quadratic-complexity DoS via the `mailto:`       │
│                 │                     │          │        │                   │                             │ validator scan-loop on attacker text                         │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-59887                   │
├─────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ nodemailer      │ GHSA-p6gq-j5cr-w38f │          │        │ 8.0.5             │ 9.0.1                       │ Nodemailer: Message-level raw option bypasses                │
│                 │                     │          │        │                   │                             │ disableFileAccess/disableUrlAccess, enabling arbitrary file  │
│                 │                     │          │        │                   │                             │ read and full-response...                                    │
│                 │                     │          │        │                   │                             │ https://github.com/advisories/GHSA-p6gq-j5cr-w38f            │
├─────────────────┼─────────────────────┤          │        ├───────────────────┼─────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ path-to-regexp  │ CVE-2026-4926       │          │        │ 8.2.0             │ 8.4.0                       │ path-to-regexp: path-to-regexp: Denial of Service via        │
│                 │                     │          │        │                   │                             │ crafted regular expressions                                  │
│                 │                     │          │        │                   │                             │ https://avd.aquasec.com/nvd/cve-2026-4926                    │
└─────────────────┴─────────────────────┴──────────┴────────┴───────────────────┴─────────────────────────────┴──────────────────────────────────────────────────────────────┘

I opened #945 to help improve Dependabot version/security updates to hopefully fix existing and future CVEs in timely manner. I would appreciate a review when you get a chance. Cheers.