Veille sécuritéBackend & données
P3Élevée
Dans Moleculer, une longueur de paquet TCP négative pouvait déclencher une boucle synchrone infinie et bloquer la boucle d’événements Node.js. Un pair distant non authentifié peut rendre les services du processus injoignables lorsque le transporteur TCP est activé et accessible ; installer une version corrigée.
Node.js
IdentifiantCVE-2026-97705
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.14.36, 0.15.2
Source : NVD — CVE-2026-97705
Analyse technique
Parser._write lit la longueur avec readInt32BE ; une valeur négative peut laisser le paquet inchangé après packet.slice(length), tandis que la boucle continue sans fin. L’exploitation requiert que le transporteur TCP soit activé et joignable.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée et mise à jour le 2026-11-04 ; la description précise le défaut et les versions de correction, ce qui constitue un changement substantiel dans la période.
ImpactLes services du processus Node.js peuvent devenir indisponibles jusqu’à son redémarrage.
Versions affectéesVersions antérieures à 0.14.36 et 0.15.2
Version corrigée0.14.36, 0.15.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-11-04T20:19:13.137Z
Mise à jour2026-11-04T20:19:13.137Z
Action recommandée
Mettre à niveau Moleculer vers 0.14.36 ou 0.15.2 selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).