Une réentrance dans HTTPS peut provoquer une utilisation après libération et une lecture hors limites de mémoire du tas, dont le contenu peut être renvoyé à un client non authentifié. La faille concerne Node.js 22.x, 24.x et 26.x dans des configurations de traitement de requête particulières ; le serveur HTTP en clair n’est pas concerné.
Source : NVD — CVE-2026-123864
Analyse technique
Le déclenchement requiert notamment un gestionnaire qui appelle `res.flushHeaders()` avant la fin du corps, puis `res.end()` avec un bloc non vide ; l’exposition de mémoire dépend d’une route qui renvoie ou conserve le corps de la requête.
Impact, versions et correctif
Action recommandée
Mettre à jour Node.js dès qu’un correctif est disponible et examiner les gestionnaires HTTPS qui envoient des réponses avant la fin de lecture des corps.
Sources
Priorisation DFS : P3 · 1 source(s).