p PatchFirst

CVE-2026-87776

CVE-2026-87776 · compression vulnerable to Denial of Service via memory leak on premature response close

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

compression is a Node.js and Express compression middleware. In versions before 1.8.2, when a client aborts the connection while a compressed response is still being sent, the zlib stream created to compress that response is never destroyed, so each aborted compressed response leaks its native zlib memory. A remote unauthenticated attacker can repeatedly open requests and disconnect early, exhausting the available memory and crashing the server. All applications using compression are affected. The issue is fixed in compression 1.8.2, and users should upgrade to 1.8.2 or later.

CVSS 7.5 · Élevée · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • compression

    Versions du logiciel
    • ≥ 0, < 1.8.2: Concernée (semver)
    • 1.8.2: Non concernée (semver)

    Mettez à jour vers 1.8.2

  • node-compression Debian:12

    Versions du logiciel
    • 1.7.4-3
    • 1.8.1-1
    • 1.8.2+~1.8.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-compression Debian:13

    Versions du logiciel
    • 1.7.4-3
    • 1.8.1-1
    • 1.8.2+~1.8.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-compression Debian:14

    Versions du logiciel
    • 1.7.4-3
    • 1.8.1-1
    Plages de versions concernées
    • ECOSYSTEM: < 1.8.2+~1.8.1-1

    Mettez à jour vers 1.8.2+~1.8.1-1

  • compression npm

    Plages de versions concernées
    • SEMVER: < 1.8.2

    Mettez à jour vers 1.8.2

  • node-compression Ubuntu:16.04:LTS

    Versions du logiciel
    • 1.1.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-compression Ubuntu:18.04:LTS

    Versions du logiciel
    • 1.1.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-compression Ubuntu:20.04:LTS

    Versions du logiciel
    • 1.7.4-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-compression Ubuntu:22.04:LTS

    Versions du logiciel
    • 1.7.4-2
    • 1.7.4-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-compression Ubuntu:24.04:LTS

    Versions du logiciel
    • 1.7.4-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-compression Ubuntu:26.10

    Versions du logiciel
    • 1.7.4-3
    • 1.8.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-compression Ubuntu:26.04:LTS

    Versions du logiciel
    • 1.7.4-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →