Blog
Perspectives sur le développement logiciel, la sécurité et la technologie de notre équipe.
Node.js corrige 16 CVE : plantages HTTP/2 et un bug HTTPS qui laisse fuiter des clés TLS
Node.js a publié les versions 22.23.5, 24.22.3 et 26.13.1 le 11 novembre, avec des correctifs pour 16 CVE. Les pires failles permettent à un client sans identifiants de faire planter un serveur HTTP/2 ou de lire la mémoire d'autres connexions, clés privées TLS comprises. Il n'existe aucun contournement : voici comment nous aborderions la mise à jour.
Un bug dans les images OG de Next.js peut exécuter du code sur votre serveur. Mettez à jour vers la 16.3.6.
Vercel a publié une mise à jour exceptionnelle de Next.js le 22 septembre pour corriger CVE-2026-94545, une faille critique d'exécution de code à distance dans `ImageResponse` de Node.js via `next/og`, notée CVSS 9,5. Elle ne touche que les applications qui injectent des valeurs contrôlées par le visiteur dans des images Open Graph dynamiques, mais c'est exactement ce que font la plupart des systèmes de cartes de partage. Voici qui est exposé, pourquoi mettre à jour le framework seul peut ne pas suffire, et ce qu'il faut vérifier aujourd'hui.
Un prototype pollué peut détourner votre trafic axios. Passez à la version 1.18.0.
axios vient de divulguer CVE-2026-67320, une faille de pollution de prototype dans son adaptateur HTTP Node.js qui peut rediriger les requêtes sortantes de votre serveur via un proxy contrôlé par un attaquant et exposer des identifiants en clair. C'est un rappel cinglant qu'une dépendance que vous configurez à peine reste une surface d'attaque. Voici ce qu'il faut corriger, et ce qu'il faut changer au-delà du correctif.
Node.js abandonne le modèle pair-impair. Voici comment planifier vos mises à jour.
Node.js abandonne le modèle pair-impair sur lequel les équipes backend se sont appuyées depuis dix ans. À partir de la version 27, une seule version majeure par an, chaque version devient LTS, et un nouveau canal Alpha de six mois s'ouvre en octobre. Voici ce que cela change si vous déployez Node en production, et le seul job CI à ajouter dès maintenant.