p PatchFirst

CVE-2026-59880

CVE-2026-59880 · Immutable.js: Hash-collision algorithmic complexity denial of service in Immutable.Map/Set

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Immutable.js provides many Persistent Immutable data structures. Prior to 4.3.9 and 5.1.8, Immutable.Map and Immutable.Set keep keys that share the same 32-bit hash in a HashCollisionNode collision bucket that is scanned linearly, allowing an attacker who controls keys inserted into a Map, such as through Immutable.Map(obj), Immutable.fromJS(obj), state.merge(userObject), or mergeDeep, to craft many colliding keys and degrade insertion and lookup to consume disproportionate CPU. This issue is fixed in versions 4.3.9 and 5.1.8.

CVSS 8.7 · Élevée · EPSS 0,7% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • immutable-js

    Versions du logiciel
    • < 4.3.9: Concernée
    • >= 5.0.0-beta.1, < 5.1.8: Concernée

    Aucun correctif publié

  • node-immutable Debian:12

    Versions du logiciel
    • 4.1.0-3
    • 4.3.4-1
    • 4.3.8-1
    • 4.3.8-2
    • 4.3.9-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-immutable Debian:13

    Versions du logiciel
    • 4.3.4-1
    • 4.3.8-1
    • 4.3.8-2
    • 4.3.9-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-immutable Debian:14

    Versions du logiciel
    • 4.3.4-1
    • 4.3.8-1
    • 4.3.8-2
    Plages de versions concernées
    • ECOSYSTEM: < 4.3.9-1

    Mettez à jour vers 4.3.9-1

  • immutable npm

    Plages de versions concernées
    • SEMVER: ≥ 4.0.0-beta.1, < 4.3.9

    Mettez à jour vers 4.3.9

  • immutable npm

    Plages de versions concernées
    • SEMVER: ≥ 5.0.0-beta.1, < 5.1.8

    Mettez à jour vers 5.1.8

  • immutable npm

    Plages de versions concernées
    • SEMVER: < 3.8.4

    Mettez à jour vers 3.8.4

  • node-immutable Ubuntu:20.04:LTS

    Versions du logiciel
    • 3.8.2+dfsg-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-immutable Ubuntu:22.04:LTS

    Versions du logiciel
    • 3.8.2+dfsg-3
    • 4.0.0-1
    • 4.0.0-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-immutable Ubuntu:24.04:LTS

    Versions du logiciel
    • 4.1.0-3
    • 4.3.4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-immutable Ubuntu:25.10

    Versions du logiciel
    • 4.3.4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-immutable Ubuntu:26.10

    Versions du logiciel
    • 4.3.8-2
    • 4.3.9-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-immutable Ubuntu:26.04:LTS

    Versions du logiciel
    • 4.3.4-1
    • 4.3.8-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →