Content.disposition() peut effectuer un traitement quadratique lorsqu’un paramètre d’en-tête contient un long jeton sans signe égal. L’analyse d’un en-tête malveillant peut bloquer la boucle d’événements Node.js avant le traitement par les routes.
Source : NVD — CVE-2026-119202
Analyse technique
Le défaut se trouve dans l’expression régulière globale utilisée pour parcourir les noms de paramètres. Il peut être atteint via @hapi/pez lors de l’analyse de multipart/form-data, ou par appel direct avec un en-tête non fiable.
Impact, versions et correctif
Détection / vérification
Vérifier les versions de @hapi/content et l’analyse de valeurs Content-Disposition contrôlées par des utilisateurs, notamment dans les routes multipart.
Action recommandée
Mettre à niveau @hapi/content vers 6.0.3 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).