Node.js : caches d’entropie réutilisés dans les snapshots et exécutables uniques

Veille sécuritéBackend & données

P4Moyenne

Lorsque certaines fonctions cryptographiques sont appelées pendant la création d’un snapshot de démarrage ou d’une application exécutable unique, leurs caches internes d’entropie peuvent être intégrés au snapshot. Les processus lancés depuis celui-ci peuvent alors répéter les mêmes valeurs jusqu’au renouvellement du cache ; les versions concernées sont Node.js 22.x, 24.x et 26.x.

IdentifiantCVE-2026-106074

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-106074

Analyse technique

Les caches utilisés par crypto.randomUUID(), crypto.randomUUIDv7() et crypto.randomInt() peuvent être sauvegardés avec –build-snapshot ou useSnapshot. Les valeurs peuvent se répéter entre processus (jusqu’à 127 UUID et environ 1 000 valeurs randomInt, selon la description fournie).

Impact, versions et correctif

Événement datéNouvelle fiche publiée le 2026-10-23T17:17:20.473Z, dans la période demandée.

ImpactDes identifiants censés être uniques peuvent entrer en collision entre processus, et certaines valeurs émises peuvent être prévisibles par observation d’un autre processus.

Versions affectéesNode.js 22.x, 24.x et 26.x

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.8

Publication2026-10-23T17:17:20.473Z

Mise à jour2026-10-23T19:42:24.553Z

Action recommandée

Mettre à jour Node.js dès qu’une version corrigée est disponible ; éviter d’appeler les fonctions concernées pendant la création d’un snapshot tant qu’un correctif n’est pas disponible.

Sources

NVD — CVE-2026-106074

Priorisation DFS : P4 · 1 source(s).