Le fallback JavaScript de pbkdf2 peut bloquer la boucle d’événements

Veille sécuritéBackend & données

P4Moyenne

Le fallback JavaScript de pbkdf2 peut recalculer un HMAC coûteux à chaque itération lorsqu’un mot de passe dépasse la taille de bloc du condensat, ce qui peut bloquer la boucle d’événements. L’avis indique que Node.js 0.12 et versions ultérieures ne sont pas affectés dans l’usage normal; une limite raisonnable de longueur de mot de passe réduit également le risque.

IdentifiantCVE-2026-102414

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-102414

Analyse technique

Pour les mots de passe dépassant 64 octets (128 octets avec SHA-384 ou SHA-512), le fallback repasse la clé longue à HMAC à chaque itération, avec un coût proportionnel au nombre d’itérations et à la longueur.

Impact, versions et correctif

Événement datéLa fiche NVD donne une publication le 2026-09-29T06:17:55.180+02:00, dans l’intervalle demandé.

ImpactUn mot de passe excessivement long peut entraîner une consommation CPU importante et bloquer l’exécution de l’application.

Versions affectéespbkdf2 jusqu’à la version 3.1.6; sur Node.js, seuls les environnements antérieurs à 0.12 utilisant le fallback sont concernés, ainsi que l’import direct de lib/sync.js.

ContournementImposer une longueur maximale raisonnable aux mots de passe.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.3

EPSS0,28% · percentile 18,8%

Publication2026-09-29T06:17:55.180+02:00

Mise à jour2026-09-29T06:17:55.180+02:00

Détection / vérification

Déterminer si l’application utilise le fallback JavaScript de pbkdf2, notamment via import direct de lib/sync.js, et si elle borne la longueur des mots de passe.

Action recommandée

Mettre à jour pbkdf2 lorsqu’un correctif est disponible et maintenir une limite de longueur raisonnable; vérifier particulièrement les environnements utilisant le fallback ou un import direct.

Sources

NVD — CVE-2026-102414

Priorisation DFS : P4 · 1 source(s).