Countly Server — arrêt du service par requête non authentifiée

Veille sécuritéBackend & données

P3Élevée

Countly Server présente une vulnérabilité de déni de service : une requête non authentifiée visant certaines routes d’images ou de captures peut provoquer une erreur de lecture de fichier non interceptée et arrêter le processus Node.js. Les versions corrigées indiquées sont 24.05.50 et 25.03.44 ; mettre à niveau vers une version corrigée.

IdentifiantCVE-2026-42270

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifCountly 24.05.50 et 25.03.44

Source : NVD — CVE-2026-42270

Analyse technique

Une requête non authentifiée contenant un point encodé peut faire ouvrir un répertoire par createReadStream sur le stockage local ; l’erreur EISDIR non gérée peut terminer le processus. Routes concernées notamment : images d’étoiles, images de tableaux de bord, images de membres et captures d’écran.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-16 à 16:17:23.940Z, soit 2026-10-16T18:17:23.940+02:00 dans la période demandée ; c’est la date de publication retenue.

ImpactUn attaquant non authentifié peut interrompre le service en provoquant l’arrêt du processus serveur.

Versions affectéesVersions antérieures à 24.05.50 et 25.03.44

Version corrigéeCountly 24.05.50 et 25.03.44

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-10-16T18:17:23.940+02:00

Mise à jour2026-10-16T20:02:37.630Z

Détection / vérification

Vérifier la version de countly-server et l’utilisation du stockage local pour les routes d’images et de captures d’écran concernées.

Action recommandée

Mettre à niveau Countly Server vers 24.05.50 ou 25.03.44, selon la branche utilisée.

Sources

NVD — CVE-2026-42270

Priorisation DFS : P3 · 1 source(s).