FICHE CVE

CVE-2026-48125

Publiée le 2026-07-14 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les applications utilisant UAParser.js (versions 2.0.1 à 2.0.9) pour analyser les Client Hints sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié peut provoquer le plantage ou le gel du processeur du serveur en envoyant un en-tête HTTP `Sec-CH-UA-Model` spécialement conçu. Comme cela ne nécessite aucune interaction de l'utilisateur ni d'identifiants, l'attaque peut être déclenchée par n'importe quelle requête réseau externe.

CVSS 3.15.3 MOYENNE

Type de faiblesse

Consommation de ressources non contrôlée · CWE-400 Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-07-14

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

UAParser.js is a JavaScript library to detect browsers, operating systems, CPUs, and devices from user-agent data. From 2.0.1 until 2.0.10, a regular expression denial-of-service vulnerability exists when using the Client Hints API. By sending a crafted Sec-CH-UA-Model header to an application that calls UAParser(headers).withClientHints(), an attacker can cause excessive CPU time due to catastrophic backtracking in the device regex because Client Hints values are copied without the UA_MAX_LENGTH limit used for User-Agent values. This issue is fixed in version 2.0.10.