Veille sécuritéFrontend
P3Élevée
Avant la version 1.3.7, `sync-rpc` peut charger et exécuter des fichiers JavaScript arbitraires présents sur le serveur si un attaquant devine le port utilisé et que celui-ci n’est pas bloqué par un pare-feu. La source indique que le problème est corrigé dans la version 1.3.7.
JavaScript
IdentifiantCVE-2026-65843
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.3.7
Source : NVD — CVE-2026-65843
Analyse technique
L’exploitation décrite dépend de la possibilité d’atteindre le port du service et d’en deviner la valeur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 19:17:44.120Z, dans la période demandée ; sa mise à jour du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactExécution de code JavaScript arbitraire sur le serveur hébergeant `sync-rpc`.
Versions affectéessync-rpc antérieur à 1.3.7
Version corrigée1.3.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-11-11T19:17:44.120Z
Action recommandée
Mettre à niveau `sync-rpc` vers la version 1.3.7 ou ultérieure et filtrer l’accès réseau au port du service.
Sources
Priorisation DFS : P3 · 1 source(s).