Node.js : réponse HTTP anticipée acceptée lors de la réutilisation d’une connexion

Veille sécuritéBackend & données

P4Moyenne

Un défaut de réutilisation des connexions HTTP Agent peut faire accepter au client une réponse reçue avant l’envoi de sa requête, en présence de données non sollicitées déjà présentes sur un socket keep-alive. La faille concerne Node.js 22.x, 24.x et 26.x ; la fiche fournie ne précise pas de version corrective ni de mesure de contournement.

IdentifiantCVE-2026-105481

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-105481

Analyse technique

Correctif incomplet de CVE-2026-48931 : le contrôle qui détruit les sockets keep-alive lors de données inattendues peut manquer des données déjà arrivées mais pas encore lues lorsque le socket est réutilisé.

Impact, versions et correctif

Événement datéNouvelle fiche publiée le 2026-10-23T17:17:19.250Z, dans la période demandée ; il s’agit d’une vulnérabilité Node.js, et non d’une simple mise à jour administrative.

ImpactUn client peut traiter une réponse non sollicitée comme la réponse à une nouvelle requête.

Versions affectéesNode.js 22.x, 24.x et 26.x

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

Publication2026-10-23T17:17:19.250Z

Mise à jour2026-10-23T19:42:24.553Z

Action recommandée

Mettre à jour Node.js dès qu’une version corrigée est disponible ; examiner les clients HTTP qui réutilisent des connexions keep-alive.

Sources

NVD — CVE-2026-105481

Priorisation DFS : P4 · 1 source(s).