Veille sécuritéFrontend
P3Élevée
Avant la version 6.1.1, `@maplibre/geojson-vt` peut épuiser la pile d’appels lors du traitement d’un `GeometryCollection` GeoJSON profondément imbriqué. Un attaquant distant non authentifié peut provoquer un déni de service en soumettant une seule charge spécialement construite à un service qui traite les données avec la bibliothèque.
JavaScript
IdentifiantCVE-2026-58505
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif6.1.1
Source : NVD — CVE-2026-58505
Analyse technique
La conversion récursive dans `featureToInternal` et `convertGeometryCollection` peut faire échouer le processus avec une erreur de dépassement de la pile JavaScript.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11 à 19:17:42.580Z, dans la période demandée ; sa mise à jour du 2026-11-12 est postérieure à la période et n’est pas retenue.
ImpactArrêt du processus consommant la bibliothèque, notamment un service de tuiles accessible à distance.
Versions affectées@maplibre/geojson-vt antérieur à 6.1.1
Version corrigée6.1.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-11-11T19:17:42.580Z
Action recommandée
Mettre à niveau `@maplibre/geojson-vt` vers la version 6.1.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).