QuickJS-NG : débordement de tampon sur hôtes 32 bits

Veille sécuritéFrontend

P3Élevée

QuickJS-NG antérieur à 0.16.0 présentait un débordement d’entier dans js_proxy_get_own_property_names(), pouvant provoquer un débordement de tampon sur le tas sur les hôtes 32 bits. La fiche NVD a été publiée dans la période retenue; la version 0.16.0 est indiquée comme version de correction.

IdentifiantCVE-2026-120438

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.16.0

Source : NVD — CVE-2026-120438

Analyse technique

Le défaut concerne js_proxy_get_own_property_names() dans quickjs.c et est déclenchable par l’exécution d’un script JavaScript construisant un résultat array-like de grande taille via un piège ownKeys de Proxy.

Impact, versions et correctif

Événement datéPublication NVD le 2026-11-02 à 15:17:25.767Z, soit le 2026-11-02 à 17:17:25.767+02:00, dans la période retenue. La version 0.16.0 est donnée comme corrective dans la fiche candidate; la page des versions QuickJS-NG a également été consultée.

ImpactDéni de service ou potentiellement exécution de code dans le processus hébergeant le moteur.

Versions affectéesQuickJS-NG antérieur à 0.16.0

Version corrigée0.16.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.5

Publication2026-11-02T15:17:25.767Z

Mise à jour2026-11-02T19:34:23.993Z

Détection / vérification

Identifier les déploiements QuickJS-NG sur hôtes 32 bits qui exécutent du JavaScript non fiable; mettre à niveau et limiter l’exécution de scripts non fiables.

Action recommandée

Mettre à niveau vers QuickJS-NG 0.16.0 ou une version ultérieure; éviter l’exécution de scripts non fiables sur les versions affectées.

Sources

NVD — CVE-2026-120438

Priorisation DFS : P3 · 1 source(s).