QuickJS-NG : fuite mémoire dans Atomics.store

Veille sécuritéFrontend

P4Moyenne

QuickJS-NG antérieur à 0.16.0 comportait une fuite mémoire dans js_atomics_store() lorsque la conversion d’une valeur échouait avec RangeError, pouvant permettre d’épuiser la mémoire du processus. La fiche NVD a été publiée dans la période retenue et indique la version 0.16.0 comme version corrective.

IdentifiantCVE-2026-120440

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif0.16.0

Source : NVD — CVE-2026-120440

Analyse technique

La fuite intervient dans js_atomics_store() lorsque la valeur convertie est libérée incorrectement lors d’un retour RangeError; des appels répétés depuis du JavaScript peuvent épuiser le tas.

Impact, versions et correctif

Événement datéPublication NVD le 2026-11-02 à 15:17:26.103Z, soit le 2026-11-02 à 17:17:26.103+02:00, dans la période retenue. La version 0.16.0 est indiquée comme corrective dans la fiche candidate; la page des versions QuickJS-NG a également été consultée.

ImpactDéni de service par épuisement de la mémoire.

Versions affectéesQuickJS-NG antérieur à 0.16.0

Version corrigée0.16.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.9

Publication2026-11-02T15:17:26.103Z

Mise à jour2026-11-02T19:34:23.993Z

Détection / vérification

Identifier les déploiements QuickJS-NG qui exécutent des scripts non fiables et mettre à niveau vers une version corrigée.

Action recommandée

Mettre à niveau vers QuickJS-NG 0.16.0 ou une version ultérieure et encadrer l’exécution des scripts non fiables par des limites mémoire.

Sources

NVD — CVE-2026-120440

Priorisation DFS : P4 · 1 source(s).