La fonction `unflatten()` de flat peut créer des tableaux creux de taille excessive à partir de clés numériques non bornées, notamment lorsque des données non fiables sont désaplaties. Les versions jusqu’à 6.0.1 sont signalées comme concernées ; la source fournie ne précise pas de version corrigée, il faut donc consulter l’avis du mainteneur avant de déployer un correctif.
Source : CVE-2026-119051 — NVD
Analyse technique
Des clés telles que `a.4294967294` peuvent provoquer l’allocation d’un tableau creux très volumineux ; des opérations ultérieures comme `forEach`, la propagation ou `JSON.stringify` peuvent bloquer la boucle d’événements Node.js. Aucun correctif n’est mentionné dans les données fournies.
Impact, versions et correctif
Détection / vérification
Rechercher les appels à flat.unflatten() sur des données non fiables et examiner si les clés numériques peuvent être contrôlées par un utilisateur.
Action recommandée
Éviter de passer des clés contrôlées par des utilisateurs à `unflatten()` ; vérifier auprès du mainteneur la disponibilité d’une version corrigée avant mise à niveau.
Sources
Priorisation DFS : P3 · 1 source(s).