CVE-2026-120440
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de QuickJS-NG antérieures à 0.16.0 sont affectées par une fuite de mémoire dans la fonction `js_atomics_store()`. Ce logiciel est un moteur JavaScript léger et intégrable, utilisé pour exécuter des scripts au sein d'autres applications. La faille survient lorsque le moteur renvoie une erreur de type RangeError, car il ne libère pas correctement les valeurs converties de la mémoire.
Un attaquant peut exploiter cette vulnérabilité en exécutant un script qui appelle répétitivement `Atomics.store` avec des valeurs spécifiques afin d'épuiser la mémoire tas (heap) disponible. Cela entraîne un déni de service, provoquant le plantage de l'application ou rendant celle-ci inactive. L'attaque est relativement facile à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur, seulement la possibilité d'exécuter du JavaScript sur le système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
QuickJS-NG before 0.16.0 contains a memory leak vulnerability in js_atomics_store() in quickjs.c that fails to free the converted value when returning a RangeError. Attackers running JavaScript can repeatedly call Atomics.store with a valueOf that detaches or shrinks the buffer to exhaust heap memory and cause denial of service.