Veille sécuritéFrontend
P4Moyenne
Node.js peut subir un épuisement de mémoire lorsqu’un client HTTP/2 non authentifié envoie de nombreuses petites trames DATA sur un flux dont les données ne sont pas consommées. La faille concerne Node.js 24.x et 26.x, car les données en attente ne sont pas comptabilisées dans le budget mémoire de session.
JavaScript
IdentifiantCVE-2026-123868
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-123868
Analyse technique
Les buffers conservés dans la file de lecture du flux ne sont pas imputés à `current_session_memory_`, de sorte que `maxSessionMemory` ne borne pas cette croissance.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 19:17:33.690Z, dans la période demandée ; sa mise à jour du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactUn client distant peut provoquer une consommation excessive de mémoire et perturber ou arrêter le serveur.
Versions affectéesNode.js 24.x et 26.x
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-11-11T19:17:33.690Z
Action recommandée
Mettre à jour Node.js dès la disponibilité d’un correctif et veiller à consommer ou borner les données reçues sur les flux HTTP/2.
Sources
Priorisation DFS : P4 · 1 source(s).