Veille sécuritéBackend & données
P3Élevée
Sur Windows, la validation du nom de fichier dans launch-editor-middleware peut être contournée lorsqu’un argument contrôlé se termine par un composant parent suivi d’un suffixe de ligne et de colonne. La correction est disponible dans launch-editor 2.14.2; mettre à niveau, en particulier si le middleware est exposé à des entrées contrôlables.
Node.js
IdentifiantCVE-2026-112942
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctiflaunch-editor 2.14.2
Source : NVD — CVE-2026-112942
Analyse technique
Le chemin est résolu avant le retrait du suffixe ligne-colonne; le contrôle existsSync peut alors valider le répertoire parent existant. La faille peut contribuer à une injection de commande Windows en combinaison avec le défaut distinct d’expansion de « % ».
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-20 à 15:17:17.230Z, soit 2026-10-20T17:17:17.230+02:00, dans la période retenue.
ImpactLe contournement du contrôle de fichier peut participer à une injection de commande lorsque la faille distincte d’expansion de variables d’environnement est également présente.
Versions affectéesAvant 2.14.2
Version corrigéelaunch-editor 2.14.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-20T17:17:17.230+02:00
Mise à jour2026-10-20T21:55:49.343+02:00
Action recommandée
Mettre à niveau launch-editor vers 2.14.2 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).