Dans Node.js 26.x, l’API zlib.ZipFile peut, après une erreur de validation entre l’en-tête local et le répertoire central d’une archive, renvoyer des octets qui ne correspondent pas à l’entrée demandée. Un scanner Node.js peut alors approuver un contenu différent de celui extrait par une autre implémentation ZIP ; aucune version corrective n’est précisée dans les éléments fournis.
Source : NVD — CVE-2026-106070
Analyse technique
Après l’échec de validation, un en-tête local analysé peut rester en cache sans décalage de contenu. Une lecture ultérieure peut renvoyer des octets contrôlés depuis le début du fichier ; le CRC-32 peut néanmoins passer si le répertoire central est contrôlé par l’attaquant.
Impact, versions et correctif
Action recommandée
Mettre à jour Node.js dès qu’une version corrigée est disponible ; ne pas se fier uniquement à la validation d’archives effectuée par zlib.ZipFile pour des fichiers non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).