Veille sécuritéBackend & données
P4Moyenne
Dans certaines configurations d’`undici`, des en-têtes sensibles fournis sous forme de tableaux de paires pouvaient être conservés lors d’une redirection vers une autre origine. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4, ou une version ultérieure.
Node.js
IdentifiantCVE-2026-120415
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.30.2 et 8.12.4
Source : NVD — CVE-2026-120415
Analyse technique
Avec un intercepteur de normalisation placé à l’extérieur de celui de redirection, les en-têtes `Authorization`, `Cookie`, `Proxy-Authorization` ou `Host` peuvent être transmis à une destination inter-origine.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée.
ImpactDes identifiants liés à l’origine peuvent être divulgués au serveur de redirection.
Versions affectées7.0.0 à 7.30.1 et 8.0.0 à 8.12.3
Version corrigée7.30.2 et 8.12.4
ContournementFournir les en-têtes comme objet simple ou tableau plat nom-valeur, ou placer l’intercepteur de redirection à l’extérieur de l’intercepteur de normalisation.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-11-06T10:16:36.633Z
Mise à jour2026-11-06T20:38:53.570Z
Action recommandée
Mettre à niveau `undici` vers 7.30.2 ou 8.12.4, ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).