Corrigez les failles de sécurité de Moment.js sans réécrire votre code de gestion des dates

Oui, en mode maintenance. Moment.js est un projet « At-Large » de l’OpenJS Foundation, géré par des bénévoles. La mise à jour de l'état d'avancement du projet Moment.js d'août 2026 indique que les responsables prévoient de nouvelles versions de maintenance de la série 2.x, qu'ils traiteront les problèmes de sécurité critiques et qu'ils n'excluent plus catégoriquement une version 3.0 de Moment axée sur la maintenance. Moment.js 2.31.0 a été publié le 15 septembre 2026. Les correctifs de sécurité sont intégrés aux versions actuelles plutôt qu'aux anciennes versions auxquelles de nombreuses applications sont liées.

Les versions 2.0.0 et 2.10.6 de Moment.js sont concernées par les vulnérabilités CVE-2016-4055 et CVE-2017-18214, toutes deux liées à un déni de service via des expressions régulières, ainsi que par la vulnérabilité CVE-2022-24785, une faille de traversée de chemin lors du changement de paramètres régionaux. Ces deux versions sont également concernées par un autre avis de sécurité relatif à une attaque ReDoS (ReDoS) couvrant les versions antérieures à la 2.15.2, qui ne porte pas d’identifiant CVE et est référencé par Snyk sous la référence npm:moment:20161019. Moment.js 2.24.0 est affecté par les vulnérabilités CVE-2022-24785 et CVE-2022-31129, une autre attaque ReDoS. La mise à jour n’a pas définitivement corrigé la vulnérabilité de traversée de chemin liée aux paramètres régionaux. Le CVE-2026-17495, divulgué le 15 septembre 2026, affecte Moment.js des versions 2.29.2 à 2.30.1, car il contourne la protection liée au nom de paramètres régionaux que ces versions avaient introduite pour corriger le CVE-2022-24785. Les équipes qui ont effectué une mise à jour en 2022 pour corriger la faille CVE-2022-24785 se sont retrouvées concernées par cette correction incomplète ; la solution consiste donc à effectuer une nouvelle mise à jour vers la version 2.31.0.

Remplacez le paquet vulnérable par une version de la même version comportant les correctifs de sécurité. Le service « Endless Lifecycle Support » de TuxCare publie des paquets Moment.js maintenus via le registre npm de TuxCare. Ajoutez le registre au fichier .npmrc, pointez package.json vers le paquet ELS manuellement ou à l’aide du TuxCare Patcher, supprimez node_modules et le fichier lockfile, videz le cache npm, puis exécutez npm install. Les paquets remplacent directement les versions en amont auxquelles ils correspondent, de sorte que l’application continue d’appeler la même API Moment.js.

L'assistance « Endless Lifecycle Support » de TuxCare couvre Moment.js 2.0.0, 2.10.6 et 2.24.0, ainsi que Moment Timezone 0.4.1. Moment Timezone est un paquet npm distinct et figure dans une liste séparée. La couverture est spécifique à chaque version ; le paquet installé correspond donc à la branche de version attendue par l'application. Les applications fixées à une version différente peuvent contacter TuxCare pour connaître les options de couverture disponibles.

Oui. Moment.js est souvent intégré via des sélecteurs de date, des bibliothèques de graphiques et d’autres composants, plutôt que par une importation directe. Les paquets ELS de TuxCare proviennent du registre npm de TuxCare, et les remplacements npm définis dans le fichier package.json redirigent les instances couvertes dans l’arborescence des dépendances vers le paquet maintenu. Le TuxCare Patcher est capable de détecter les versions couvertes et d’appliquer ces remplacements. Ces mêmes paquets s’installent dans les images Docker et les pipelines CI/CD.

En partie. Le service « Endless Lifecycle Support » de TuxCare est conçu pour répondre aux exigences en matière de correction des vulnérabilités de Moment.js dans le cadre de référentiels tels que SOC 2, PCI DSS, HIPAA, NIS2, DORA et la loi européenne sur la cyber-résilience. Il ne garantit pas à lui seul la conformité d’une application. Il fournit toutefois un prestataire identifié, un accord de niveau de service (SLA) contractuel et une procédure de correction documentée que les auditeurs peuvent examiner.

Les deux points de vue peuvent être valables, et le facteur déterminant réside dans l’intensité d’utilisation de Moment.js au sein de l’application. La mise à jour de l’état d’avancement du projet d’août 2026 revient sur la recommandation de 2020 déconseillant les nouveaux projets et indique que le nombre de téléchargements hebdomadaires a plus que triplé ; les arguments en faveur d’une suppression de Moment.js sont donc moins solides qu’auparavant. Pour une application mature dont la logique de parsing, de mise en forme, de paramètres régionaux et de fuseaux horaires repose depuis des années sur l’API Moment.js, TuxCare ELS assure la mise à jour des versions couvertes pendant que la migration s’effectue selon un calendrier planifié, ou tant que l’application continue d’utiliser Moment.js par choix.