CVE-2026-111714
Publiée le 2026-10-16 · Dernière modification le 2026-10-21
Les versions de tarteaucitron.js antérieures à la 1.37.0 constituent une bibliothèque JavaScript utilisée pour gérer les bannières de consentement aux cookies sur les sites web. La faille est un déni de service par expression régulière (ReDoS) situé dans la fonction `cookie.purge`. Elle survient lorsque la bibliothèque traite des noms de cookies non échappés et spécifiquement conçus qui déclenchent un « backtracking catastrophique », provoquant le gel du navigateur lors de l'analyse du texte.
Un attaquant peut ainsi bloquer le navigateur d'un visiteur, l'empêchant de fait d'utiliser la page, ce qui affecte la disponibilité du site pour cet utilisateur spécifique. Cette attaque est difficile à exécuter car elle nécessite que l'attaquant place d'abord un cookie malveillant via un sous-domaine frère ou injecte un élément HTML spécifique. Étant donné qu'elle requiert à la fois une configuration complexe et une interaction directe de l'utilisateur — spécifiquement le clic sur un bouton « purge » — le risque global est faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
tarteaucitron.js before 1.37.0 contains a regular expression denial of service vulnerability that allows attackers to block visitor pages by supplying unescaped cookie names to cookie.purge. Attackers can plant a cookie from a sibling subdomain or inject a purgeBtn element with a catastrophic-backtracking data-cookie pattern that freezes the page when the purge button is clicked.