Veille sécuritéBackend & données
P3Élevée
Langium présente un risque de déni de service lorsque les composants opt-in `IndentationAwareTokenBuilder` et `IndentationAwareLexer` tokenisent des documents à indentation variable : le recalcul répété des numéros de ligne peut bloquer la boucle d’événements Node.js. Les versions 3.2.0 à 4.4.0 sont concernées; les configurations utilisant `DefaultLexer` et `DefaultTokenBuilder` ne le sont pas.
Node.js
IdentifiantCVE-2026-124683
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-124683
Analyse technique
Le traitement peut avoir une complexité quadratique et bloquer le processus Node.js pendant plusieurs dizaines de secondes avec un document spécialement construit.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 9 novembre 2026 à 17:17:27.690 UTC, soit le 9 novembre à 19:17:27.690 +02:00, dans la période demandée. L’horodatage de modification est identique; l’événement retenu est la publication initiale, pas une modification administrative.
ImpactUn document conçu pour déclencher le comportement coûteux peut monopoliser le processus et rendre indisponibles les autres utilisateurs servis par ce processus.
Versions affectéesLangium 3.2.0 à 4.4.0; uniquement les composants opt-in IndentationAwareTokenBuilder et IndentationAwareLexer
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-11-09T19:17:27.690+02:00
Mise à jour2026-11-09T19:17:27.690+02:00
Action recommandée
Vérifier si l’application utilise les composants concernés pour traiter des documents non fiables; appliquer le correctif Langium dès qu’une version corrigée est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).