Veille sécuritéBackend & données
P3Élevée
Dans decode-uri-component avant la version 0.5.1, une entrée malformée comportant de nombreux segments encodés distincts pouvait provoquer un coût de traitement quadratique dans la fonction de décodage de repli. Cela pouvait bloquer la boucle d’événements Node.js; la correction est disponible en version 0.5.1.
Node.js
IdentifiantCVE-2026-118664
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.5.1
Source : NVD — CVE-2026-118664
Analyse technique
Le chemin de repli appliquait une expression régulière à l’ensemble de l’entrée pour chaque séquence encodée distincte; des entrées accessibles via le corps d’une requête pouvaient entraîner une consommation CPU disproportionnée.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-10-28T21:16:56.687Z, dans la période demandée. La mise à jour ultérieure du 2026-10-29 n’est pas retenue.
ImpactDéni de service par consommation CPU et blocage de la boucle d’événements Node.js.
Versions affectéesdecode-uri-component < 0.5.1
Version corrigée0.5.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
Publication2026-10-28T21:16:56.687Z
Action recommandée
Mettre à niveau decode-uri-component vers la version 0.5.1 ou ultérieure et limiter les entrées non fiables selon le contexte d’utilisation.
Sources
Priorisation DFS : P3 · 1 source(s).