Veille sécuritéBackend & données
P3Élevée
La bibliothèque graphql-scalars est vulnérable à un déni de service par retour arrière exponentiel de l’expression régulière du scalaire GraphQLPhoneNumber. Une requête peut bloquer la boucle d’événements Node.js lors du traitement d’entrée, avant l’autorisation dans les résolveurs; la version 2.0.1 corrige le problème.
GraphQL
IdentifiantCVE-2026-115887
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.0.1
Source : NVD — CVE-2026-115887
Analyse technique
Le scalaire GraphQLPhoneNumber utilise des quantificateurs de chiffres imbriqués ambigus. Le traitement de valeurs malformées peut provoquer un retour arrière coûteux; serialize est également concerné pour des valeurs stockées non validées.
Impact, versions et correctif
Événement datéLa publication CVE est datée du 2026-10-23T22:16:58.253Z, soit le 2026-10-24T00:16:58.253+02:00, dans la période demandée. La mise à jour NVD du 2026-10-26 est postérieure à la borne et n’est pas retenue comme événement.
ImpactUn attaquant pouvant soumettre une valeur GraphQLPhoneNumber spécialement construite peut bloquer le traitement Node.js et affecter la disponibilité du service.
Versions affectéesgraphql-scalars >= 1.24.1 et < 2.0.1
Version corrigée2.0.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,74% · percentile 54,2%
Publication2026-10-23T22:16:58.253Z
Action recommandée
Mettre à niveau graphql-scalars vers la version 2.0.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).