FICHE CVE

CVE-2026-3449

Publiée le 2026-03-03 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant le package JavaScript `@tootallnate/once` avant la version 3.0.1 sont susceptibles de subir un blocage des ressources lors de l'utilisation de l'option AbortSignal. Un attaquant disposant d'un accès local et de permissions de base peut déclencher cet état pour bloquer indéfiniment des requêtes ou des workers, ce qui pourrait dégrader la disponibilité de votre application. Comme cela nécessite un accès local et des entrées spécifiquement conçues, il est difficile d'exploiter cette faille pour une attaque à grande échelle.

CVSS 4.01.9 FAIBLE

Type de faiblesse

CWE-705

Publiée2026-03-03

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

Versions of the package @tootallnate/once before 3.0.1 are vulnerable to Incorrect Control Flow Scoping in promise resolving when AbortSignal option is used. The Promise remains in a permanently pending state after the signal is aborted, causing any await or .then() usage to hang indefinitely. This can cause a control-flow leak that can lead to stalled requests, blocked workers, or degraded application availability.