Veille sécuritéBackend & données
P3Élevée
Dans re2js de 2.2.0 à 2.8.6, l’utilisation de lookbehinds avec des API de recherche répétée peut entraîner un temps de calcul quadratique et bloquer le processus Node.js. Mettre à niveau vers 2.8.7 ; en attendant, éviter cette combinaison sur des entrées contrôlées par un attaquant.
JavaScriptNode.js
IdentifiantCVE-2026-116795
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.8.7
Source : GHSA-gg6h-894w-4m9c
Analyse technique
Avec LOOKBEHINDS, certaines recherches répétées reprennent le parcours depuis le début de l’entrée, produisant une complexité quadratique.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28, dans la période retenue.
ImpactUne entrée spécialement construite peut monopoliser un cœur CPU et bloquer le traitement du processus Node.js.
Versions affectées>= 2.2.0, < 2.8.7
Version corrigée2.8.7
ContournementÉviter les API de recherche répétée avec l’option LOOKBEHINDS sur des entrées non fiables.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-28T21:10:01Z
Mise à jour2026-10-28T21:10:03Z
Action recommandée
Mettre à niveau re2js vers 2.8.7.
Sources
Priorisation DFS : P3 · 2 source(s).