node-forge : plantage du client TLS avec une compression ServerHello non prise en charge

Veille sécuritéBackend & données

P4Moyenne

Le client TLS de node-forge accepte un algorithme de compression ServerHello qu’il n’a pas proposé, puis peut lever une exception non interceptée pendant le handshake. Un serveur malveillant ou un attaquant sur le chemin peut faire tomber le processus; mettre à niveau vers node-forge 1.4.3 ou ultérieure.

IdentifiantCVE-2026-125332

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.4.3

Source : GitHub Advisory — GHSA-w4xr-hqv8-ch44

Analyse technique

Le client n’effectuait pas la validation de la méthode de compression du ServerHello. Le correctif fait échouer le handshake avec une alerte `illegal_parameter` via le rappel d’erreur; les serveurs ne sont pas concernés selon l’avis.

Impact, versions et correctif

Événement datéPublication et mise à jour de l’avis GitHub le 10 novembre 2026; le correctif indiqué est node-forge 1.4.3.

ImpactUne méthode de compression non prise en charge peut faire lever une exception et arrêter une application Node.js qui ne l’intercepte pas.

Versions affectéesnode-forge <= 1.4.2

Version corrigée1.4.3

ContournementIntercepter les exceptions de `connection.process()` et fermer la socket.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.9 · CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Publication2026-11-10T21:17:14Z

Mise à jour2026-11-10T21:17:15Z

Détection / vérification

Vérifier la version de node-forge et si l’application utilise un client forge.tls, forge.tls.wrapSocket ou forge.http vers un serveur non fiable.

Action recommandée

Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; à défaut, intercepter les exceptions de traitement TLS.

Sources

Priorisation DFS : P4 · 2 source(s).