CVE-2025-59466
Vulnérabilité non évaluée dans node (nodejs)
Description
We have identified a bug in Node.js error handling where "Maximum call stack size exceeded" errors become uncatchable when `async_hooks.createHook()` is enabled. Instead of reaching `process.on('uncaughtException')`, the process terminates, making the crash unrecoverable. Applications that rely on `AsyncLocalStorage` (v22, v20) or `async_hooks.createHook()` (v24, v22, v20) become vulnerable to denial-of-service crashes triggered by deep recursion under specific conditions.
Gravité et risque d'exploitation
CVE-2025-59466 obtient un score CVSS de 0.0/10, soit une gravité non évaluée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.68 %, ce qui la place devant 51.6 % des CVE référencées.
Que faire ?
- Vérifiez si node (versions 18.0, <14.*, 15.0, 24.12.0, 9.0, <9.*, 22.21.1, 13.0, 14.0, 11.0, <=22.21.1, <10.*, <13.*, <16.*, 17.0, <=20.19.6, <17.*, 20.19.6, <8.*, 8.0, 12.0, <18.*, <11.*, <15.*, <=25.2.1, 10.0, 16.0, <=24.12.0, <12.*, 25.2.1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.