FICHE CVE

CVE-2021-22884

Publiée le 2021-03-03 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Certaines versions de Node.js sont vulnérables aux attaques par DNS rebinding car elles font indûment confiance au domaine « localhost6 ». Un attaquant capable d'usurper des réponses DNS ou de contrôler votre serveur DNS peut tromper votre serveur pour qu'il traite un site malveillant distant comme une source locale fiable, lui permettant potentiellement de lire ou de modifier des données locales sensibles. Cela nécessite une configuration technique complexe et dépend de l'interaction d'un utilisateur avec un lien ou un site malveillant.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-350

Publiée2021-03-03

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to DNS rebinding attacks as the whitelist includes “localhost6”. When “localhost6” is not present in /etc/hosts, it is just an ordinary domain that is resolved via DNS, i.e., over network. If the attacker controls the victim's DNS server or can spoof its responses, the DNS rebinding protection can be bypassed by using the “localhost6” domain. As long as the attacker uses the “localhost6” domain, they can still apply the attack described in CVE-2018-7160.