CVE-2026-115728

Les versions 6.0.1 à 6.0.2 de @hapi/content sont concernées. Cette bibliothèque est utilisée dans les environnements Node.js pour gérer les en-têtes de contenu HTTP. La faille se situe dans la fonction `Content.disposition()`, où une expression régulière inefficace ne parvient pas à traiter correctement certaines chaînes de caractères très longues, entraînant une boucle de traitement appelée « quadratic backtracking ».

Un attaquant peut faire planter votre service en envoyant une requête de téléchargement multipart spécialement conçue avec un paramètre surdimensionné. Comme cette attaque ne nécessite ni authentification ni interaction de l'utilisateur et peut être lancée via le réseau, elle est facile à exécuter. Le résultat est une perte totale de disponibilité car la boucle d'événements Node.js se fige, rendant le serveur inopérant pour tous les autres utilisateurs.