Veille sécuritéBackend & données
P3Élevée
Un use-after-free dans HTTP/2 peut permettre à un client non authentifié de provoquer une corruption mémoire du serveur lorsqu’une application sert des fichiers avec respondWithFile() ou respondWithFD(). Le défaut concerne Node.js 24.x depuis 24.22.0 et 26.x depuis 26.9.0, y compris sur des connexions TLS ou en clair.
Node.js
IdentifiantCVE-2026-123874
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-123874
Analyse technique
Un flux HTTP/2 peut être libéré alors qu’une écriture qui le référence est encore en attente sur la socket.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-11 à 19:17:34.490Z, soit dans la période demandée (+02:00). La mise à jour ultérieure du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactCorruption mémoire possible du serveur, pouvant compromettre sa disponibilité ou son intégrité.
Versions affectéesNode.js 24.x depuis 24.22.0 et 26.x depuis 26.9.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-11-11T21:17:34.490+02:00
Action recommandée
Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.
Sources
Priorisation DFS : P3 · 1 source(s).