Avant @builder.io/qwik 1.20.0 et @qwik.dev/core 2.0.0-beta.37, la désérialisation serveur peut traiter un objet contrôlé par l’attaquant comme une promesse et provoquer un rejet asynchrone non géré, susceptible d’arrêter le serveur Node.js. Mettez à jour vers l’une des versions corrigées correspondant au paquet utilisé.
Source : NVD — CVE-2026-84994
Analyse technique
La désérialisation qwik-json côté serveur transmet une valeur _resolved contrôlable à Promise.resolve sans rejeter au préalable les thenables non fiables. Une requête non authentifiée peut ainsi provoquer un rejet asynchrone orphelin ; des requêtes répétées peuvent maintenir les réplicas indisponibles.
Impact, versions et correctif
Détection / vérification
Vérifier les versions des paquets Qwik et l’exposition du désérialiseur qwik-json côté serveur à des requêtes non authentifiées.
Action recommandée
Mettre à jour @builder.io/qwik vers la version 1.20.0 ou @qwik.dev/core vers la version 2.0.0-beta.37, selon le paquet utilisé.
Sources
Priorisation DFS : P3 · 1 source(s).