CVE-2026-106072
Node.js a corrigé le 21 octobre dix failles (quatre de gravité haute) : DNS tronqué par un octet NUL, contournements de la vérification de certificat TLS pour les adresses IP, et dépassement du décodeur Brotli (CVE-2026-111497). Mettez à jour vos applications Node.js ; les paquets Debian 12 et 13 ne sont pas encore corrigés.
- Versions touchées
- Node.js 22.x, 24.x et 26.x avant 22.23.4 / 24.22.1 / 26.12.1 (les versions en fin de vie sont toujours touchées)
- Versions corrigées
- Node.js 22.23.4, 24.22.1, 26.12.1 (21/10/2026) — Debian 12 (18.20.4) et Debian 13 (20.19.2) : encore vulnérables (25/10)
- Correctif
- Correctif disponible
- Référence
- cve.org ↗ NVD ↗
Articles sur CVE-2026-106072
-
Node.js : dix failles corrigées dans les versions 22.23.4, 24.22.1 et 26.12.1 (contrôle de certificat, DNS, décodeur Brotli)
Node.js a corrigé le 21 octobre dix failles (quatre de gravité haute) : DNS tronqué par un octet NUL, contournements de la vérification de certificat TLS pour les adresses IP, et dépassement du décodeur Brotli…