Node.js : huit CVE corrigées, dont cinq hautes

Ce qui se passe

Le 21 octobre 2026, Node.js a publié une version de sécurité sur ses trois lignes actives : 26.12.1 (Current), 24.22.1 « Krypton » (LTS) et 22.23.4 (LTS). Les notes lues pour cette fiche sont celles de la 24.22.1 ; les deux autres sortent le même jour et, d'après heise, corrigent elles aussi des failles de gravité haute.

Les failles de la 24.22.1

Hautes

• CVE-2026-106069 et CVE-2026-106072 : tls rejette désormais les adresses IP non canoniques
• CVE-2026-105482 : dns valide les entrées de résolution contre les octets nuls
• CVE-2026-105483 : tls, régression de normalisation des adresses IP réparée
• CVE-2026-111497 : brotli, correctif repris dans le code embarqué

Moyennes : CVE-2026-105481 (http, garde des données de l'agent sans E/S) et CVE-2026-106074 (crypto, caches aléatoires réinitialisés entre snapshots). Faible : CVE-2026-106073 (modèle de permissions, realpathSync).

Les notes ne disent pas comment exploiter ces failles ni dans quelles conditions.

Dépendances et certificats

La version embarque aussi OpenSSL 3.5.9, undici 7.30.1, c-ares 1.34.9, tzdata 2026e et les certificats racine NSS 3.131.1, la version de Mozilla qui retire la racine liée à eMudhra (fiche du 21 octobre). Un correctif de tls rejette en outre les chaînes contenant des clés publiques bloquées. heise, en allemand, présente la version comme une protection contre les certificats compromis d'eMudhra.

Comment s'y prendre

1. Relever node --version partout : serveurs, conteneurs, CI.
2. Passer sur la dernière version de la ligne utilisée.
3. Reconstruire les images Docker, puis redémarrer les services : une image de base peut garder l'ancienne version.

Source : Node.js 24.22.1, 21 octobre 2026. Source en anglais. Les deux autres versions : 26.12.1, 22.23.4. Complément : heise (en allemand).