Veille sécuritéBackend & données
P4Moyenne
Un déréférencement de pointeur NULL dans HTTP/2 peut faire planter le processus Node.js lorsqu’un client annule un téléchargement servi avec respondWithFile() ou respondWithFD(). Le problème touche Node.js 22.x, 24.x et 26.x et peut être déclenché sans authentification, sur des connexions TLS ou en clair.
Node.js
IdentifiantCVE-2026-123875
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-123875
Analyse technique
L’annulation du transfert peut laisser un pointeur NULL dans le StreamPipe, ensuite déréférencé.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-11 à 19:17:34.697Z, soit dans la période demandée (+02:00). La mise à jour ultérieure du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactDéni de service par arrêt du processus serveur.
Versions affectéesNode.js 22.x, 24.x et 26.x
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-11-11T21:17:34.697+02:00
Action recommandée
Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.
Sources
Priorisation DFS : P4 · 1 source(s).