Socket.IO cluster-engine : déni de service par résolution de propriétés héritées

Veille sécuritéBackend & données

P3Élevée

Dans les déploiements utilisant @socket.io/cluster-engine, des identifiants de session spécialement construits peuvent être résolus via la chaîne de prototypes plutôt que comme des clients connectés, ce qui peut faire planter le processus Node.js. Les versions antérieures à 0.1.1 sont concernées; la version 0.1.1 corrige le problème.

IdentifiantCVE-2026-102600

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.1.1

Source : NVD — CVE-2026-102600

Analyse technique

La recherche de session utilise des propriétés héritées pour des identifiants contrôlés par un attaquant, notamment __proto__ ou constructor; l’impact indiqué est un déni de service. Les applications n’utilisant pas ce paquet ne sont pas concernées.

Impact, versions et correctif

Événement datéLa fiche NVD a été substantiellement mise à jour le 2026-09-30, dans la période demandée; l’événement retenu est cette mise à jour, et non la publication initiale du 2026-09-29.

ImpactDéni de service par arrêt du processus Node.js.

Versions affectées@socket.io/cluster-engine < 0.1.1

Version corrigée0.1.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-09-29T16:17:06.180Z

Mise à jour2026-09-30T19:38:27.293Z

Détection / vérification

Vérifier si l’application utilise @socket.io/cluster-engine et mettre à niveau le paquet.

Action recommandée

Mettre à niveau @socket.io/cluster-engine vers 0.1.1 ou une version ultérieure.

Sources

NVD — CVE-2026-102600

Priorisation DFS : P3 · 1 source(s).