FICHE CVE

CVE-2016-10539

Publiée le 2018-05-31 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications Node.js utilisant la bibliothèque `negotiator` (courante dans les frameworks Express et Koa) sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut faire planter ou geler votre serveur en envoyant un en-tête HTTP « Accept-Language » spécialement conçu. Comme cela ne nécessite aucune interaction avec l'utilisateur ni d'identifiants, l'attaque est facile à exécuter via une connexion réseau standard.

CVSS 3.07.5 ÉLEVÉE

Type de faiblesse

Consommation de ressources non contrôlée · CWE-400 Validation des entrées insuffisante · CWE-20

Publiée2018-05-31

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

negotiator is an HTTP content negotiator for Node.js and is used by many modules and frameworks including Express and Koa. The header for "Accept-Language", when parsed by negotiator 0.6.0 and earlier is vulnerable to Regular Expression Denial of Service via a specially crafted string.