Veille sécuritéBackend & données
P4Moyenne
Lors de l’application d’un delta de pack Git, isomorphic-git peut utiliser une taille `targetSize` fournie par le serveur sans la borner avant d’allouer un tampon. Un dépôt distant malveillant peut ainsi provoquer une allocation d’environ 2 Go et épuiser les ressources; le correctif est dans la version 1.38.6.
JavaScriptNode.js
IdentifiantCVE-2026-63476
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.38.6
Source : NVD — CVE-2026-63476
Analyse technique
Le chemin vulnérable est utilisé pendant `clone()` ou `fetch()`. L’allocation du tampon est hors tas et n’est donc pas empêchée par les limites de tas Node.js.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-03 à 20:18:16 UTC, soit le 2026-11-03 à 22:18:16 +02:00, dans la période demandée.
ImpactÉpuisement de mémoire pouvant entraîner l’arrêt d’un conteneur, d’une fonction serverless ou d’une machine à faibles ressources.
Versions affectéesVersions antérieures à 1.38.6
Version corrigée1.38.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
Publication2026-11-03T22:18:16+02:00
Mise à jour2026-11-04T00:18:16+02:00
Action recommandée
Mettre à jour isomorphic-git vers la version 1.38.6 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).