Veille sécuritéBackend & données
P4Moyenne
Dans undici, l’association du redirect interceptor et d’un cache de réponses partagé peut enregistrer sous la clé de la requête initiale la réponse privée d’une requête authentifiée redirigée vers une cible de même origine. Un utilisateur anonyme ou différent peut ensuite recevoir cette réponse mise en cache; mettre à niveau undici vers 7.30.2 ou 8.12.4, ou une version ultérieure.
Node.js
IdentifiantCVE-2026-120474
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.30.2 et 8.12.4
Source : NVD — CVE-2026-120474
Analyse technique
La clé de cache ne tient pas compte des identifiants et ne comporte pas d’en-tête Vary; la réponse finale peut donc être réutilisée pour une autre identité.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-06 à 10:16:36.913Z et substantiellement mise à jour le même jour à 20:38:53.570Z, dans la période demandée; la description indique le défaut, son impact et les versions corrigées.
ImpactDivulgation à un autre utilisateur de corps de réponses privées conservées dans un cache partagé.
Versions affectéesundici 7.0.0 à 7.30.1 et 8.0.0 à 8.12.3
Version corrigée7.30.2 et 8.12.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,29% · percentile 21,4%
Publication2026-11-06T10:16:36.913Z
Mise à jour2026-11-06T20:38:53.570Z
Action recommandée
Mettre à niveau undici vers 7.30.2, 8.12.4 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).