Veille sécuritéBackend & données
P4Moyenne
Dans undici, la composition des intercepteurs de redirection et de cache partagé peut permettre à un 304 provenant d’une autre origine de valider une réponse authentifiée conservée en cache. Un appelant non authentifié peut alors recevoir cette réponse; mettre à niveau vers undici 7.30.2 ou 8.12.4, ou une version ultérieure.
Node.js
IdentifiantCVE-2026-116630
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.30.2 et 8.12.4
Source : NVD — CVE-2026-116630
Analyse technique
Lors d’une revalidation conditionnelle redirigée vers une autre origine, les validateurs If-None-Match ou If-Modified-Since générés par le cache ne sont pas retirés. Un 304 de destination est alors traité comme une revalidation réussie de la représentation stockée.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-06 à 11:17:05.497Z et substantiellement mise à jour le même jour à 20:38:53.570Z, dans la période demandée; les détails fournis documentent le défaut, l’impact, les versions et les solutions de contournement.
ImpactDivulgation possible de réponses authentifiées via un cache partagé.
Versions affectéesundici 7.0.0 à 7.30.1 et 8.0.0 à 8.12.3
Version corrigée7.30.2 et 8.12.4
ContournementComposer les intercepteurs dans l’ordre cache puis redirection, utiliser des dispatchers et caches distincts par origine, ou désactiver le cache partagé pour les requêtes susceptibles d’être redirigées.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-11-06T11:17:05.497Z
Mise à jour2026-11-06T20:38:53.570Z
Action recommandée
Mettre à niveau undici vers 7.30.2, 8.12.4 ou une version ultérieure; à défaut, appliquer l’une des mesures de contournement indiquées.
Sources
Priorisation DFS : P4 · 1 source(s).