Vulnérabilité dans probe-image-size (CVE-2026-104861)
Résumé
Vulnérabilité dans probe-image-size (CVE-2026-104861). Risque d'opérations non autorisées ou de divulgation. Exploitable via highWaterMark. Atténuation : mise à jour vers 7.4.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Overview
probe-image-size scans the SVG header with a searching regular expression, /<[-_.:a-zA-Z0-9][^>]*>/. On input that contains many < characters but no >, the engine restarts the [^>]* scan at every < position and runs to end of input each time, giving quadratic time complexity.
Both the synchronous and the streaming parser are affected.
Impact
Every entry point that reaches the SVG parser is affected: probe.sync(), probe(stream) and probe(url). The URL form is the most exposed one — the input is fetched from a remote host, so an attacker only needs to supply a link.
Processing a crafted buffer blocks the Node.js event loop at 100% CPU for the whole duration. In production environments such as upload validators, image proxies or link unfurl services, a small number of concurrent requests is enough to deny service.
Root Cause Analysis
Two independent problems.
-
Absence of input size cap in the sync path.
lib/parse_sync/svg.jscopied the entire buffer into a string and matched against it. There was no size limit at all, so cost scaled with the size of the attacker-supplied buffer. -
Repeated rescanning in the stream path.
lib/parse_stream/svg.jsdid cap accumulated data at 64 KB, but calledparseSvg(str)on the whole accumulated string on every chunk, givingO(chunks × N²). The cap does not help here: the more chunks the input is split into, the more times the quadratic scan is repeated.Chunk size is influenced…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-104861 a été découverte dans probe-image-size.
Des attaquants peuvent cibler un point d'entrée spécifique comme highWaterMark à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.5/10.
Action : mettez à jour probe-image-size vers 7.4.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « probe-image-size CVE-2026-104861 » sur le site de l'éditeur.
CVE-2026-104861 (probe-image-size) — CWE-400 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : highWaterMark / needle
Correctif : 7.4.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-400) affecte probe-image-size. Les attaquants atteignent le code vulnérable via highWaterMark sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de probe-image-size. Surface d'attaque : highWaterMark / needle.
Gravité : Élevée (CVSS 7.5/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 7.4.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'probe-image-size' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
probe-image-sizeを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade probe-image-size to 7.4.0ステージング環境で 7.4.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com