Veille sécuritéBackend & données
P3Critique
Une validation de racine de Merkle dans bitcoinjs-lib peut accepter un bloc dont la liste de transactions contient des doublons sans que le changement soit détecté. Cela peut conduire certains consommateurs à traiter une transaction deux fois ou à rejeter un bloc honnête ; mettre à niveau vers une version corrigée.
JavaScriptNode.js
IdentifiantCVE-2026-107846
GravitéCritique
Exploitationnon connue / non déterminée
Correctif5.2.1, 6.1.8, 7.0.2
Source : NVD — CVE-2026-107846
Analyse technique
fastMerkleRoot complète les niveaux impairs en hachant le dernier nœud avec lui-même, sans signaler les hachages adjacents identiques. Des chemins de validation de racine peuvent ainsi accepter une liste de transactions différente avec la même racine et le même identifiant de bloc.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée et mise à jour le 2026-11-04 ; l’avis décrit une vulnérabilité et des versions correctives, événement substantiel retenu dans la période.
ImpactDes consommateurs de blocs peuvent traiter deux fois une transaction dupliquée ou rejeter un bloc honnête partageant le même identifiant.
Versions affectées2.3.0 jusqu’aux versions correctives 5.2.1, 6.1.8 et 7.0.2
Version corrigée5.2.1, 6.1.8, 7.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-11-04T19:17:18.130Z
Mise à jour2026-11-04T19:17:18.130Z
Action recommandée
Mettre à niveau bitcoinjs-lib vers 5.2.1, 6.1.8 ou 7.0.2 selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).