dcmjs : contournement de validation des valeurs DS et IS

Veille sécuritéFrontend

P4Faible

dcmjs ne valide pas correctement certaines valeurs DICOM DS et IS, ce qui peut produire des valeurs Infinity ou NaN et accepter une notation scientifique non conforme pour IS. La version 0.52.0 corrige le problème ; les utilisateurs de versions antérieures doivent effectuer la mise à niveau.

IdentifiantCVE-2026-46350

GravitéFaible

Exploitationnon connue / non déterminée

Correctifdcmjs 0.52.0

Source : GitHub Advisory — GHSA-px68-xx5g-48q5

Analyse technique

Le filtrage par expression régulière laisse passer certaines notations scientifiques et peut transformer des entrées malformées en Infinity ou NaN lors de la conversion par Number(). L’avis GitHub donne un score élevé évalué par le rapporteur, mais précise que le mainteneur estime le risque faible ; la gravité retenue ici suit cette évaluation du mainteneur.

Impact, versions et correctif

Événement datéL’avis GHSA est daté du 27 octobre 2026 à 13:29:57 UTC, dans la période demandée. La correction est antérieure, mais la publication de l’avis durant la période constitue l’événement retenu.

ImpactDes valeurs numériques malformées peuvent se propager dans les traitements en aval ; l’avis du mainteneur souligne qu’elles doivent être contrôlées par l’application appelante.

Versions affectées< 0.52.0

Version corrigéedcmjs 0.52.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-27T15:29:57+02:00

Mise à jour2026-10-27T15:29:59+02:00

Action recommandée

Mettre à niveau dcmjs vers la version 0.52.0 ou ultérieure et valider les valeurs numériques reçues dans les applications consommatrices.

Sources

GitHub Advisory — GHSA-px68-xx5g-48q5

Priorisation DFS : P4 · 1 source(s).