Veille sécuritéBackend & données
P4Moyenne
Un client TLS de node-forge peut lever une exception non interceptée en recevant un message ServerHello alors qu’aucune session n’existe, notamment après la fermeture de la connexion. Un serveur malveillant ou un attaquant sur le chemin peut ainsi faire tomber le processus; mettre à niveau vers node-forge 1.4.3 ou ultérieure.
JavaScriptNode.js
IdentifiantCVE-2026-125334
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.4.3
Analyse technique
Le traitement du handshake accède à `c.session.md5` alors que la session est nulle; l’exception remonte depuis `connection.process()`. Les serveurs node-forge ne sont pas concernés selon l’avis.
Impact, versions et correctif
Événement datéPublication et mise à jour de l’avis GitHub le 10 novembre 2026; le correctif indiqué est node-forge 1.4.3.
ImpactUn message TLS reçu dans l’état concerné peut provoquer une exception non interceptée et arrêter le processus Node.js.
Versions affectéesnode-forge <= 1.4.2
Version corrigée1.4.3
ContournementIntercepter les exceptions de `connection.process()` et fermer la socket, ou cesser de lui transmettre les données après la fermeture jusqu’au prochain `handshake()`.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9 · CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Publication2026-11-10T21:14:26Z
Mise à jour2026-11-10T21:14:26Z
Action recommandée
Mettre à niveau node-forge vers la version 1.4.3 ou ultérieure; à défaut, appliquer le contournement documenté.
Sources
Priorisation DFS : P4 · 2 source(s).