Le journal DFS
Node.js
-
CVE-2026-109869 — Déni de service dans undici via une erreur non gérée
P3 · Élevée · CVE-2026-109869 — Un serveur distant malveillant peut faire tomber le processus Node.js via `fetch()` en envoyant une réponse comportant plus de cinq…
-
Node.js : vérifications de permissions manquantes dans fs.realpathSync()
P4 · Faible · CVE-2026-106073 — Sous Node.js 22.x, 24.x et 26.x, fs.realpathSync() peut contourner les contrôles de lecture attendus du modèle de permissions et révéler…
-
Node.js : contournement de règles génériques du modèle de permissions fichiers
P4 · Faible · CVE-2026-106071 — Dans Node.js 26.x, le modèle de permissions peut autoriser des chemins qui ne correspondent pas à une règle générique –allow-fs-read…
-
Node.js : lecture de contenu ZIP incorrect par zlib.ZipFile
P4 · Faible · CVE-2026-106070 — Dans Node.js 26.x, l’API zlib.ZipFile peut, après une erreur de validation entre l’en-tête local et le répertoire central d’une archive,…
-
Node.js : caches d’entropie réutilisés dans les snapshots et exécutables uniques
P4 · Moyenne · CVE-2026-106074 — Lorsque certaines fonctions cryptographiques sont appelées pendant la création d’un snapshot de démarrage ou d’une application exécutable unique, leurs caches…
-
Node.js : SAN DNS accepté pour une connexion à une adresse IPv4 non canonique
P4 · Moyenne · CVE-2026-106072 — La vérification TLS peut accepter un certificat contenant uniquement un SAN DNS pour un point de terminaison IPv4 lorsque le…
-
Node.js : réponse HTTP anticipée acceptée lors de la réutilisation d’une connexion
P4 · Moyenne · CVE-2026-105481 — Un défaut de réutilisation des connexions HTTP Agent peut faire accepter au client une réponse reçue avant l’envoi de sa…
-
Node.js : divergence de normalisation IPv4 lors de la vérification TLS
P3 · Élevée · CVE-2026-106069 — La vérification d’identité TLS peut comparer le certificat à une adresse IPv4 différente de celle utilisée pour la connexion lorsque…
-
Node.js : validation TLS incorrecte d’adresses IPv4 écrites en caractères non ASCII
P3 · Élevée · CVE-2026-105483 — La vérification TLS peut accepter un certificat DNS ne correspondant pas à l’adresse IP lorsqu’un hôte IPv4 est écrit avec…
-
Node.js : troncature de noms d’hôte contenant un octet NUL dans les API DNS
P3 · Élevée · CVE-2026-105482 — Les fonctions dns.resolve*() et dns.reverse() peuvent tronquer silencieusement un nom d’hôte contenant un octet NUL et résoudre un nom différent…