Veille sécuritéBackend & données
P4Faible
fast-xml-parser présente un déni de service par épuisement CPU lorsque l’option non activée par défaut `stopNodes` est utilisée et que l’entrée XML comporte des fragments de balises sans fermeture. Mettre à niveau vers la version 5.12.0 ou ultérieure.
Node.js
IdentifiantCVE-2026-126066
GravitéFaible
Exploitationnon connue / non déterminée
Correctif5.12.0
Source : NVD — CVE-2026-126066
Analyse technique
`readStopNodeData()` rappelle `readTagExp()` pour chaque caractère « , ce qui peut entraîner un rescannage quadratique et bloquer la boucle d’événements Node.js.
Impact, versions et correctif
Événement datéPublication et mise à jour de la fiche NVD le 10 novembre 2026; le candidat décrit une vulnérabilité et son correctif, et non une simple modification administrative.
ImpactUne entrée XML spécialement construite peut provoquer une consommation CPU importante et bloquer la boucle d’événements du processus.
Versions affectéesVersions antérieures à 5.12.0, avec l’option non activée par défaut `stopNodes`
Version corrigée5.12.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
Publication2026-11-10T21:19:24.487Z
Mise à jour2026-11-10T21:19:24.617Z
Action recommandée
Mettre à niveau fast-xml-parser vers la version 5.12.0 ou ultérieure; vérifier les usages de l’option `stopNodes`.
Sources
Priorisation DFS : P4 · 1 source(s).