Veille sécuritéBackend & données
P4Moyenne
La vérification SRI d’`undici` pouvait accepter une réponse dont le condensat ne correspondait pas aux métadonnées lorsque celles-ci contenaient des espaces ASCII autres qu’un espace simple. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4, ou une version ultérieure.
Node.js
IdentifiantCVE-2026-120423
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.30.2 et 8.12.4
Source : NVD — CVE-2026-120423
Analyse technique
Le parseur séparait les métadonnées sur un seul caractère espace; avec une tabulation ou un autre espace ASCII, aucune empreinte reconnue pouvait rester et la liste vide était acceptée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée.
ImpactUne réponse contrôlée par un attaquant peut être acceptée sans erreur malgré une empreinte SRI non concordante.
Versions affectées7.15.0 à 7.30.1 et 8.0.0 à 8.12.3
Version corrigée7.30.2 et 8.12.4
ContournementFournir les métadonnées SRI sans espaces périphériques et utiliser un espace simple pour séparer plusieurs condensats.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-11-06T10:16:36.780Z
Mise à jour2026-11-06T20:38:53.570Z
Action recommandée
Mettre à niveau `undici` vers 7.30.2 ou 8.12.4, ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).