Node.js publie des correctifs de sécurité corrigeant dix failles, dont quatre jugées graves
en clair
Node.js est un outil que les développeurs utilisent pour faire fonctionner des sites web et des applications. Ses créateurs ont publié des mises à jour qui corrigent dix failles de sécurité. La plus grave pourrait permettre à un attaquant d’exécuter un code malveillant sur un ordinateur.
Résumé complet
Node.js a publié des mises à jour de sécurité pour ses branches 26.x, 24.x et 22.x afin de corriger dix vulnérabilités. Les détails de la publication désignent 26.12.1, 24.22.1 et 22.23.4 comme versions corrigées, et les publications étaient prévues pour le 21 octobre 2026. Quatre des failles sont classées à haute gravité, la note la plus élevée sur les trois branches.
La conséquence potentielle la plus grave est l'exécution de code à distance via le décodeur Brotli, suivie sous la référence CVE-2026-111497. L'avis décrit une écriture hors limites, ce qui signifie que le décodeur peut écrire en dehors de sa zone mémoire prévue. Les applications qui traitent des contenus compressés en Brotli non fiables devraient faire l'objet d'une attention particulière lors de la planification des correctifs. L'avis n'explique pas les conditions exactes nécessaires à l'exploitation.
Deux problèmes de gravité élevée concernent les contrôles de noms d'hôte des certificats TLS Transport Layer Security Norme qui chiffre les connexions entre un navigateur ou une application et un serveur. Définition complète du terme TLS. CVE-2026-105483 permet de contourner la vérification du nom d'hôte lorsqu'une adresse IP protocole Internet Règles de base d'Internet pour l'envoi de données, avec une adresse numérique pour chaque appareil connecté. Définition complète du terme IP utilise des chiffres pleine largeur, ce qui touche les branches 26.x et 24.x. CVE-2026-106069 concerne des noms d'hôte qui se résolvent de manière laxiste en adresse IP et touche les trois branches. Les deux portent sur la question de savoir si un certificat correspond correctement à la destination visée.
La quatrième faille de gravité élevée, CVE-2026-105482, fait que dns.resolve tronque les noms contenant un caractère NUL. Elle touche les trois lignes de versions et inquiète les applications qui dépendent d'une gestion cohérente des noms avant les requêtes DNS système de noms de domaine L'annuaire d'Internet qui relie les noms de domaine aux adresses des ordinateurs. Définition complète du terme DNS. Ces correctifs font suite à des correctifs antérieurs de Node.js concernant le contournement de l'authentification TLS.
Trois problèmes de gravité moyenne ont aussi été corrigés. CVE-2026-105481 permet à un socket keep-alive de traiter une réponse écrite avant l'envoi de sa requête. CVE-2026-106072 concerne une validation incorrecte des certificats pour des noms d'hôte IPv4 non standard. CVE-2026-106074 touche des données aléatoires mises en cache dans les snapshots de démarrage et les applications à exécutable unique, qui peuvent répéter les valeurs renvoyées par crypto.randomUUID() et crypto.randomInt().
Les autres problèmes sont classés en faible gravité. CVE-2026-106070 concerne des octets contrôlés par un attaquant, renvoyés après l'échec de contrôles d'en-têtes ZIP, et CVE-2026-106071 peut accorder un accès excessif au système de fichiers via la correspondance par caractères génériques ; les deux touchent la branche 26.x. CVE-2026-106073 contourne les contrôles du Permission Model via fs.realpathSync sur les trois branches.
Le projet conseille aux administrateurs de déployer la version corrigée correspondante, de reconstruire les images d'applications si nécessaire et de redémarrer les services concernés. Il avertit que les branches en fin de vie restent vulnérables même après les publications de sécurité, si bien que la migration vers une branche prise en charge fait partie de la remédiation.