music-metadata : boucle infinie dans l’analyse MP4 sur la branche master non publiée

Veille sécuritéBackend & données

P4Moyenne

Une entrée MP4 `stsd` dont la taille d’échantillon est nulle peut empêcher l’avancement de la boucle d’analyse et bloquer synchroniquement la boucle d’événements Node.js. L’avis situe le défaut sur la branche `master` non publiée et indique un correctif dans 11.16.0; il précise que la version npm 11.14.0 et les versions antérieures ne sont pas concernées.

IdentifiantCVE-2026-107391

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif11.16.0

Source : GHSA-f94x-6692-553q — music-metadata

Analyse technique

Dans `StsdAtom.get()`, une taille d’entrée égale à zéro produit un décalage net nul; la boucle synchrone relit alors indéfiniment les mêmes octets.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-08T19:43:25Z, dans la période demandée; l’événement retenu est la divulgation d’un défaut sur la branche non publiée, et non une vulnérabilité des versions npm publiées mentionnées comme non affectées.

ImpactLe traitement d’un fichier MP4 spécialement formé peut bloquer la boucle d’événements et rendre le processus Node.js indisponible.

Versions affectéesBranche `master` non publiée; l’avis indique que 11.14.0 et les versions antérieures ne sont pas affectées.

Version corrigée11.16.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.2

Publication2026-10-08T19:43:25Z

Mise à jour2026-10-08T19:43:26Z

Détection / vérification

L’avis indique que le défaut est présent sur la branche `master` non publiée et absent de la dernière version npm 11.14.0; vérifier les dépendances ou constructions dérivées de cette branche.

Action recommandée

Éviter d’intégrer la branche `master` vulnérable; appliquer le correctif indiqué par l’avis lorsqu’il est disponible dans la branche concernée.

Sources

Priorisation DFS : P4 · 2 source(s).