Aller au contenu
Retour à la recherche

CVE-2026-111497

CRITICAL
9.8 CISA KEVNVD

Résumé

généré automatiquement à partir des données NVD

Un dépassement de tampon dans le décodeur Brotli (c/dec/decode.c) de Google Brotli, versions 1.0.3 à 1.2.0 sur toutes les plateformes, permet à un attaquant distant non authentifié, via un flux compressé spécialement conçu, de corrompre la mémoire d'état du décodeur, de divulguer des données, de provoquer un déni de service ou potentiellement d'exécuter du code arbitraire. La description NVD recommande la mise à jour vers 1.0.10, 1.1.1 ou 1.2.1. La faille est inscrite au catalogue CISA KEV et notée 9.8 (CRITICAL, CVSS v3.1).

Description NVD (anglais)

A buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0 on all platforms allows a remote unauthenticated attacker to corrupt adjacent decoder state memory, disclose sensitive memory contents, cause a denial of service, or potentially execute arbitrary code using a crafted Brotli-compressed stream. Users need to update any Brotli libraries or binaries between 1.0.3 through 1.2.0 to the latest available version: 1.0.10 or 1.1.1 or 1.2.1.

Partager :

⚠️ Activement exploitée — CISA KEV

Cette CVE a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 2026-10-27. Elle est confirmée exploitée dans la nature et doit être patchée en priorité.

Échéance de remédiation (agences fédérales US): 2026-11-10

EPSS · FIRST.org

55,5 %de probabilité d'exploitation dans les 30 prochains jours

Supérieure à 99 % des CVE notées

L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 27 oct. 2026, recalculé chaque jour par FIRST.org.

Articles d'analyse sur cveo.tech

Cette CVE est analysée dans un article : contexte, versions concernées et correctifs publiés.

Score CVSS v3.1

9.8
/ 10.0
CRITICAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Informations

Publié
22 oct. 2026
Mis à jour
28 oct. 2026
Statut
Analyzed
Source
cve-coordination@google.com

Produits affectés

google brotli
Versions ≥ 1.0.3, < 1.0.10 · ≥ 1.1.0, < 1.1.1 · ≥ 1.2.0, < 1.2.1
nodejs node.jsToutes les CVE Node.js →
Versions < 22.23.4 · ≥ 23.0.0, < 24.22.1 · ≥ 25.0.0, < 26.12.1
python-hyper brotlicffi
Versions < 1.2.1.0
microsoft .net
Versions ≥ 8.0.0, < 8.0.33 · ≥ 9.0.0, < 9.0.22 · ≥ 10.0.0, < 10.0.14 · 11.0.0
debian debian linux
Versions 12.0
istio istio
Versions < 1.29.9 · ≥ 1.30.0, < 1.30.6 · ≥ 1.31.0, < 1.31.2
anthropic bun
Versions < 1.4.4
envoyproxy envoy
Versions < 1.37.8 · ≥ 1.38.0, < 1.38.6 · ≥ 1.39.0, < 1.39.3

Bornes publiées par NVD : « < 8.4.27 » signifie que 8.4.27 n'est plus vulnérable. La version corrigée à installer est dans l'avis de l'éditeur.

Faiblesses (CWE)

CWE-252CWE-787

Références (18)

CVEs similaires

Autres vulnérabilités de type CWE-252

…

Sache quelles CVE touchent les versions que tu fais tourner.

Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.

Ajouter mon premier équipementJ'ai déjà un compte