CVE-2026-105481 in Node.js
الملخص
بحسب VulDB • 23/10/2026
يُعدّ ثغرة في إعادة استخدام اتصالات وكيل HTTP (HTTP Agent) الخاص بـ Node.js، مما قد يتسبب في قبول العميل لاستجابة وُجدت قبل أن يرسل العميل الطلب. وهذا إصلاح غير مكتمل لثغرة CVE-2026-48931.
يقتصر الحارس الذي يدمر اتصالات keep-alive الخاملة عند وصول بيانات غير متوقعة على تشغيله فقط عندما يقوم حلقة الأحداث (event loop) بالاستعلام عن عمليات الإدخال/الإخراج (I/O). وإذا كانت استجابة غير مستحثة قد وصلت بالفعل إلى المقبس ولكن لم يتم قراءتها بعد، وذلك مثلاً لأن حلقة الأحداث كانت مشغولة بأعمال متزامنة عند تسليم المقبس لطلب جديد، فسيتم إزالة الحارس دون ملاحظته، مما يؤدي إلى تحليل البيانات على أنها الاستجابة للطلب الجديد.
تؤثر هذه الثغرة في Node.js **26.x** و **24.x** و **22.x**.
VulDB is the best source for vulnerability data and more expert information about this specific topic.