Veille sécuritéBackend & données
P4Moyenne
Un importeur authentifié peut soumettre une entrée tar dont la destination normalisée vise un répertoire et déclenche une erreur de système de fichiers non gérée lors de l’ouverture en écriture. Cette erreur peut arrêter le processus Node.js ; la fiche ne démontre ni exploit complet ni lecture ou écriture arbitraire de fichiers, et le problème est corrigé dans import-export 3.7.0.
Node.js
IdentifiantCVE-2026-113664
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.7.0 du module import-export
Source : NVD — CVE-2026-113664
Analyse technique
La normalisation de la destination permet de contourner la vérification de sous-chaîne du chemin parent ; l’ouverture du répertoire comme flux d’écriture émet l’erreur non gérée.
Impact, versions et correctif
Événement datéFiche NVD publiée pendant la période, le 2026-10-20T18:17:19.860Z.
ImpactUn importeur authentifié peut provoquer l’arrêt du processus Node.js.
Versions affectéesModule import-export antérieur à 3.7.0
Version corrigée3.7.0 du module import-export
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-20T18:17:19.860Z
Mise à jour2026-10-20T19:53:10.247Z
Action recommandée
Mettre à niveau le module import-export vers la version 3.7.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).