Veille sécuritéFrontend
P4Moyenne
Dans `ip-address`, l’analyse de chaînes IPv6 sans limite de longueur peut construire un diagnostic proportionnel, voire très supérieur, à la taille de l’entrée; une entrée démesurée peut bloquer ou faire planter le processus. Les versions jusqu’à 10.7.0 inclus sont affectées selon l’avis, qui indique 10.7.1 comme version corrigée.
JavaScript
IdentifiantCVE-2026-101911
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif10.7.1
Analyse technique
Plusieurs méthodes construisant une adresse `Address6` sont concernées si elles reçoivent une chaîne non préalablement bornée; certaines autres entrées citées dans l’avis sont explicitement données comme non affectées.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-09-29T23:46:39Z, soit le 2026-09-30 à 01:46:39 en +02:00, dans la période demandée.
ImpactBlocage synchrone, erreur inattendue ou arrêt du processus Node.js selon la taille de l’entrée.
Versions affectées<= 10.7.0
Version corrigée10.7.1
ContournementLimiter la taille des chaînes avant de les transmettre aux méthodes de parsing IPv6.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-29T23:46:39Z
Mise à jour2026-09-29T23:46:40Z
Action recommandée
Mettre à niveau vers ip-address 10.7.1 et borner la longueur des entrées non fiables avant analyse.
Sources
Priorisation DFS : P4 · 1 source(s).