Veille sécuritéBackend & données
P3Élevée
La vérification TLS peut accepter un certificat DNS ne correspondant pas à l’adresse IP lorsqu’un hôte IPv4 est écrit avec des caractères non ASCII, par exemple des chiffres pleine chasse. La faille concerne Node.js 24.x et 26.x ; les informations fournies ne donnent ni version corrective ni contournement.
Node.js
IdentifiantCVE-2026-105483
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-105483
Analyse technique
tls.checkServerIdentity() ne reconnaît pas certaines formes non ASCII comme des adresses IP, alors qu’elles se normalisent en IPv4 ; le certificat est alors comparé à ses noms DNS ou à son Common Name plutôt qu’à un SAN IP.
Impact, versions et correctif
Événement datéNouvelle fiche publiée le 2026-10-23T17:17:19.573Z, dans la période demandée.
ImpactUn certificat sans SAN IP correspondant peut authentifier une connexion à une adresse IPv4.
Versions affectéesNode.js 24.x et 26.x
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
Publication2026-10-23T17:17:19.573Z
Mise à jour2026-10-23T19:42:24.553Z
Action recommandée
Mettre à jour Node.js dès qu’une version corrigée est disponible ; éviter les formes non canoniques d’adresses IPv4 pour les connexions TLS.
Sources
Priorisation DFS : P3 · 1 source(s).