Veille sécuritéBackend & données
P3Élevée
Avant la version 4.3.1, une requête POST /mcp contenant un JSON malformé pouvait provoquer une exception SyntaxError non interceptée et arrêter le processus Node.js. La faille a été publiée le 2026-11-05 à 01:17:58 +02:00 ; mettre à jour vers la version 4.3.1.
Node.jsTypeScript
IdentifiantCVE-2026-76892
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.3.1
Source : NVD — CVE-2026-76892
Analyse technique
Dans le mode HTTP de @tsparticles/mcp-server, JSON.parse était appelé sans mécanisme de capture d’erreur propre à la requête. Un superviseur externe pouvait être nécessaire pour redémarrer le service après son arrêt.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-11-04T23:17:58.557Z, soit le 2026-11-05 à 01:17:58 +02:00, dans la période retenue ; il s’agit d’une vulnérabilité nouvellement publiée.
ImpactUne requête malformée non authentifiée peut arrêter le processus Node.js et rendre le service indisponible jusqu’à son redémarrage.
Versions affectéesVersions antérieures à 4.3.1
Version corrigée4.3.1
ContournementSi la mise à jour est différée, désactiver le mode HTTP ou restreindre l’accès au service.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7 · CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
EPSS0,29% · percentile 21,8%
Publication2026-11-05T01:17:58+02:00
Mise à jour2026-11-05T23:18:53+02:00
Action recommandée
Mettre à jour @tsparticles/mcp-server vers la version 4.3.1.
Sources
Priorisation DFS : P3 · 1 source(s).