node-forge : ReDoS dans le traitement des en-têtes et cookies HTTP

Veille sécuritéBackend & données

P4Moyenne

La suppression des espaces de fin dans les en-têtes de réponse HTTP et les cookies de `forge.http` utilisait une expression régulière dont le temps d’exécution peut croître de façon quadratique. Un serveur ou un attaquant sur le chemin peut bloquer le client avec un en-tête suffisamment long; mettre à niveau node-forge vers 1.4.3 ou ultérieure.

IdentifiantCVE-2026-125333

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.4.3

Source : GitHub Advisory — GHSA-6cv4-p8m7-4r25

Analyse technique

`_trimString()` appliquait `/\s*$/` aux valeurs d’en-tête et aux cookies; l’avis précise que `forge.http` n’est pas chargé par `require('node-forge')` et qu’il fait partie de la bundle `forge.all`.

Impact, versions et correctif

Événement datéPublication et mise à jour de l’avis GitHub le 10 novembre 2026; le correctif indiqué est node-forge 1.4.3.

ImpactLe traitement d’un en-tête volumineux peut bloquer longtemps la boucle d’événements Node.js ou l’onglet du navigateur.

Versions affectéesnode-forge >= 0.1.2, <= 1.4.2

Version corrigée1.4.3

ContournementLimiter la taille des en-têtes HTTP de réponse avant de les transmettre à `forge.http`.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.9 · CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Publication2026-11-10T21:16:22Z

Mise à jour2026-11-10T21:16:23Z

Détection / vérification

Vérifier la version de node-forge et l’emploi de forge.http avec un pool de sockets pour communiquer avec des serveurs non fiables.

Action recommandée

Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; pour les versions non corrigées, limiter la taille des en-têtes transmis à `forge.http`.

Sources

Priorisation DFS : P4 · 2 source(s).