Node.js : réutilisation indue d’une session TLS par https.Agent

Veille sécuritéBackend & données

P4Moyenne

Une incohérence dans la clé de cache de https.Agent peut faire réutiliser une session TLS authentifiée selon une politique d’autorités de certification plus permissive par une requête soumise à une politique plus stricte. Une requête avec ca: [] peut ainsi être considérée comme autorisée et transmettre des données à un serveur qui aurait été rejeté lors d’une nouvelle connexion; les versions concernées sont Node.js 22.x, 24.x et 26.x.

IdentifiantCVE-2026-123877

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-123877

Analyse technique

Les requêtes omettant ca et celles spécifiant ca: [] peuvent partager la clé de cache de session de l’Agent; la reprise de session TLS 1.3 conserve l’authentification antérieure.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-11-11 à 19:17:34.900Z, soit dans la période demandée (+02:00). La mise à jour ultérieure du 2026-11-12 est postérieure à la période et n’est pas retenue.

ImpactContournement possible de la validation de certificats et transmission de données à un serveur non approuvé par la politique de la requête.

Versions affectéesNode.js 22.x, 24.x et 26.x

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.8

Publication2026-11-11T21:17:34.900+02:00

Action recommandée

Consulter l’avis officiel Node.js pour les versions corrigées et mettre à jour les installations concernées.

Sources

NVD — CVE-2026-123877

Priorisation DFS : P4 · 1 source(s).