Veille sécuritéBackend & données
P4Moyenne
Des noms prévisibles d’archives d’export pouvaient permettre à une personne non authentifiée de télécharger un export d’un autre utilisateur lorsque le stockage était publiquement lisible et que l’archive existait encore. Mettre à jour le module import-export vers 3.7.1 ou une version ultérieure et vérifier que le stockage des exports n’est pas public.
Node.js
IdentifiantCVE-2026-112953
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifmodule import-export 3.7.1
Source : NVD — CVE-2026-112953
Analyse technique
Un utilisateur autorisé doit d’abord créer l’archive. Le scénario de téléchargement décrit ne s’applique pas lorsque les exports sont désactivés, que le stockage est privé ou que l’accès aux fichiers exige une authentification.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-20 à 16:17:06.237Z, soit 2026-10-20T18:17:06.237+02:00, dans la période retenue.
ImpactUn export d’un autre utilisateur peut être divulgué si l’archive est accessible publiquement avant expiration ou suppression.
Versions affectéesAvant 3.7.1
Version corrigéemodule import-export 3.7.1
ContournementDésactiver les exports ou utiliser un stockage privé et une livraison des fichiers nécessitant une authentification.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6
Publication2026-10-20T18:17:06.237+02:00
Mise à jour2026-10-20T21:53:10.247+02:00
Action recommandée
Mettre à jour le module import-export et protéger le stockage des archives par authentification.
Sources
Priorisation DFS : P4 · 1 source(s).