Veille sécuritéBackend & données
P3Élevée
Dans `basic-ftp`, l’analyseur Unix utilisé par `Client.list()` peut effectuer un travail quadratique sur une ligne de liste malveillante renvoyée par le serveur FTP, bloquant la boucle d’événements Node.js. Les versions jusqu’à 6.2.0 sont concernées et la correction est en 6.2.1 ; mettre à niveau, ou éviter de traiter des listes provenant de serveurs non fiables avant correction.
Node.js
IdentifiantCVE-2026-102990
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif6.2.1
Source : GHSA-c475-qrg2-pj4r — basic-ftp
Analyse technique
Le motif de l’analyseur Unix effectue des retours arrière quadratiques pour certaines lignes mal formées. Une ligne hostile peut être incluse dans une liste de répertoire fournie par le serveur FTP.
Impact, versions et correctif
Événement datéL’avis GHSA a été publié le 2026-10-01 à 14:42:42Z, dans la période demandée.
ImpactUn serveur FTP malveillant peut bloquer le processus client Node.js pendant l’analyse d’une liste de répertoire.
Versions affectéesbasic-ftp <= 6.2.0
Version corrigée6.2.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,51% · percentile 41,0%
Publication2026-10-01T14:42:42Z
Mise à jour2026-10-01T14:42:45Z
Action recommandée
Mettre à niveau basic-ftp vers 6.2.1 ou ultérieur.
Sources
Priorisation DFS : P3 · 1 source(s).