Veille sécuritéBackend & données
P3Élevée
Un serveur distant malveillant peut faire tomber le processus Node.js via `fetch()` en envoyant une réponse comportant plus de cinq codages de contenu, puis en fermant la connexion avant l’envoi du corps. Les versions correctives sont undici 6.29.1, 7.30.1 et 8.12.2 selon la branche ; aucun contournement n’est indiqué.
Node.js
IdentifiantCVE-2026-109869
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifundici 6.29.1, 7.30.1 ou 8.12.2
Analyse technique
undici crée le flux de réponse interne avant de vérifier la limite de codages de contenu. En cas de fermeture anticipée, une erreur de longueur de contenu survient sur ce flux sans gestionnaire d’erreur, ce qui peut arrêter Node.js même si l’application intercepte le rejet de `fetch()`.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-23 à 22:14:31 UTC, soit le 2026-10-24 à 00:14:31 (+02:00), dans la période demandée.
ImpactUn serveur distant non authentifié peut provoquer l’arrêt du processus Node.js avec une réponse conçue à cet effet.
Versions affectéesundici >= 6.23.0 et < 6.29.1 ; >= 7.18.0 et < 7.30.1 ; >= 8.0.0 et < 8.12.2
Version corrigéeundici 6.29.1, 7.30.1 ou 8.12.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,34% · percentile 26,7%
Publication2026-10-24T00:14:31+02:00
Mise à jour2026-10-24T00:14:32+02:00
Action recommandée
Mettre à niveau vers la version corrective correspondant à la branche utilisée : 6.29.1, 7.30.1 ou 8.12.2.
Sources
Priorisation DFS : P3 · 1 source(s).