Fastify — arrêt du processus Node.js lors de l’expiration d’un délai sur une réponse de streaming

Veille sécuritéBackend & données

P4Moyenne

Une requête distante vers une route de streaming peut faire planter le processus Node.js si `handlerTimeout` est non nul et que le délai expire après l’envoi des en-têtes. Le défaut concerne Fastify 5.8.0 à 5.12.7 et est corrigé dans la version 5.12.8.

IdentifiantCVE-2026-120216

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctiffastify 5.12.8

Source : NVD — CVE-2026-120216

Analyse technique

À l’expiration du délai, Fastify tente d’envoyer une réponse d’erreur alors que les en-têtes ont déjà été envoyés. L’erreur non interceptée `ERR_HTTP_HEADERS_SENT` termine le processus et interrompt les autres requêtes en cours.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-02, pendant la période demandée; la vulnérabilité et les versions affectées sont décrites dans le candidat fourni.

ImpactUn client distant non authentifié peut provoquer un déni de service en terminant le processus Node.js. L’exploitation nécessite une route de streaming concernée et un `handlerTimeout` non nul.

Versions affectéesFastify 5.8.0 à 5.12.7, avec `handlerTimeout` non nul et une réponse de streaming

Version corrigéefastify 5.12.8

ContournementConfigurer `handlerTimeout` à 0.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.9

Publication2026-11-02T11:17:31.553Z

Mise à jour2026-11-02T17:17:39.870Z

Détection / vérification

Vérifier la version de Fastify et si handlerTimeout est non nul sur des routes renvoyant une réponse en flux.

Action recommandée

Mettre à niveau Fastify vers la version 5.12.8 ou ultérieure; à défaut, régler `handlerTimeout` à 0.

Sources

NVD — CVE-2026-120216

Priorisation DFS : P4 · 1 source(s).