Vulnérabilité dans nanoid (CVE-2026-73086)
Résumé
Vulnérabilité dans nanoid (CVE-2026-73086). Des informations confidentielles peuvent être exposées. Exploitable via size. Atténuation : mise à jour vers 5.1.11 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
An integer overflow in nanoid(size) permanently corrupts the process-wide CSPRNG pool, causing all subsequent ID generation to return the deterministic string "uuuuuuuuuuuuuuuuuuuuu". Any application that passes user-influenced values to the size parameter loses all randomness guarantees for session tokens, CSRF tokens, and unique identifiers until process restart.
Details
nanoid() at index.js:101 coerces the size parameter with size |= 0, which converts it to a signed 32-bit integer. When size >= 2^31 (e.g., 2147483648), this wraps to -2147483648.
The negative value is passed to fillPool() (index.js:15):
function fillPool(bytes) {
if (!pool || pool.length < bytes) { // false: pool exists, -2B < pool.length
pool = Buffer.allocUnsafe(bytes * POOL_SIZE_MULTIPLIER)
crypto.getRandomValues(pool)
poolOffset = 0
} else if (poolOffset + bytes > pool.length) { // false: poolOffset + (-2B) < pool.length
crypto.getRandomValues(pool)
poolOffset = 0
}
poolOffset += bytes // poolOffset += -2147483648 → deeply negative
}
Neither branch triggers, so the pool is never refreshed. poolOffset becomes ~-2.1 billion.
Subsequent nanoid() calls execute:
for (let i = poolOffset - size; i < poolOffset; i++) {
id += scopedUrlAlphabet[pool[i] & 63]
}
`pool[negative_index…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-73086 a été découverte dans nanoid.
Des attaquants peuvent cibler un point d'entrée spécifique comme size à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.4/10.
Action : mettez à jour nanoid vers 5.1.11 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « nanoid CVE-2026-73086 » sur le site de l'éditeur.
CVE-2026-73086 (nanoid) — CWE-190 / CVSS v3 7.4
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : size / poolOffset / undefined / nanoid
Correctif : 5.1.11 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-190) affecte nanoid. Les attaquants atteignent le code vulnérable via size sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de nanoid. Surface d'attaque : size / poolOffset / undefined / nanoid.
Gravité : Élevée (CVSS 7.4/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 5.1.11.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'nanoid' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
nanoidを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade nanoid to 5.1.11ステージング環境で 5.1.11 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-73086 node-mocha Corrigé dans: 9.1.4+ds1+~cs28.2.8-1
- Ubuntu UBUNTU-CVE-2026-73086 node-mocha
Références
- advisory nvd.nist.gov
- ATLASSIAN JSWSERVER-26958
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com