Veille sécuritéBackend & données
P3Élevée
Un défaut de renégociation TLS 1.2 peut permettre à un client déjà authentifié pour un nom d’hôte de réutiliser cette authentification pour atteindre un autre hôte soumis à une politique de certificat client plus stricte. Le risque concerne les serveurs Node.js 22.x, 24.x et 26.x appliquant des politiques d’authentification par certificat différentes selon le nom d’hôte.
Node.js
IdentifiantCVE-2026-123872
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-123872
Analyse technique
Lors d’une renégociation TLS 1.2, le client peut modifier le servername et conserver l’authentification obtenue pour l’hôte initial.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-11 à 19:17:34.270Z, soit dans la période demandée (+02:00). La mise à jour ultérieure du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactContournement possible des politiques d’authentification par certificat client et accès à des hôtes protégés.
Versions affectéesNode.js 22.x, 24.x et 26.x
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
Publication2026-11-11T21:17:34.270+02:00
Action recommandée
Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.
Sources
Priorisation DFS : P3 · 1 source(s).