La version 1.37.0 de tarteaucitron.js a été publiée le 15 octobre 2026. Elle comprend deux correctifs de sécurité et une mise à jour de la liste des cookies associés au service OpenAI.
Les modifications sont disponibles dans la release officielle sur GitHub.
Correction de la vérification des attributs dans getElemAttr
Le premier correctif concerne la fonction interne getElemAttr, utilisée pour récupérer des valeurs d’attributs HTML.
Un problème avait été identifié dans le mécanisme de vérification des URL : dans certaines situations, le contrôle pouvait porter sur un attribut différent de celui qui devait être vérifié.
La correction vise à s’assurer que la protection est appliquée à l’attribut attendu.
Ce correctif a été proposé par @AploSec et est documenté dans le commit 068653b.
La validation des URL est un point important lorsqu’une bibliothèque manipule des attributs HTML provenant de configurations ou de contenus présents dans la page.
Correction d’un risque de ReDoS dans cookie.purge
Le second correctif concerne tarteaucitron.cookie.purge, une fonction impliquée dans la suppression des cookies.
Un risque potentiel de ReDoS, pour Regular Expression Denial of Service, a été identifié.
Ce type de problème apparaît lorsqu’une expression régulière peut nécessiter un temps de traitement excessif pour certaines entrées. Selon le contexte, cela peut provoquer un ralentissement important du JavaScript.
Le correctif vise à réduire ce risque dans le traitement effectué par la fonction de suppression des cookies.
Il a également été proposé par @AploSec et figure dans le commit 60faaba.
La release ne fournit pas de scénario d’exploitation détaillé ni d’évaluation de sévérité. Il serait donc excessif d’en déduire qu’une exploitation active a été observée.
Mise à jour des cookies OpenAI
La version 1.37.0 actualise également la liste des cookies associés au service OpenAI, ajouté dans la version précédente.
Cette modification permet d’adapter la déclaration du service aux cookies identifiés dans son intégration.
La liste des cookies d’un service tiers peut évoluer au fil du temps. Leur maintenance fait partie du travail nécessaire pour conserver des intégrations cohérentes avec le comportement des fournisseurs.
Cette mise à jour ne signifie pas que tous les produits OpenAI utilisent les mêmes cookies ou nécessitent les mêmes choix de consentement. L’analyse dépend toujours de l’intégration réellement présente sur le site.
Pourquoi mettre à jour la bibliothèque
Les deux correctifs de sécurité concernent le fonctionnement interne de tarteaucitron.js et ne nécessitent pas l’utilisation du service OpenAI pour être pertinents.
Je recommande donc de mettre à jour les installations open source vers une version intégrant ces corrections.
La version 1.37.0 est disponible sur GitHub.
Après la mise à jour, les vérifications habituelles restent utiles : affichage de la bannière, ouverture du panneau, acceptation et refus des services, ainsi que suppression des cookies lorsque le consentement est retiré.
Merci pour les signalements de sécurité
Je remercie @AploSec pour les deux signalements et les correctifs associés.
Les contributions de sécurité sont particulièrement importantes pour une bibliothèque utilisée sur de nombreux sites. Elles permettent d’identifier des problèmes parfois difficiles à détecter lors du développement courant.
Leur traitement fait partie de la maintenance régulière de tarteaucitron.js, au même titre que les corrections fonctionnelles, les améliorations d’accessibilité et les mises à jour des services tiers.
