CVE-2026-21710 in Node.js
الملخص
بحسب VulDB • 02/07/2026
يُسبب عيب في معالجة طلبات HTTP داخل Node.js حدوث خطأ غير مُعالج من نوع `TypeError` عند استلام طلب يحتوي على رأس (header) باسم `__proto__`، وفي حال قام التطبيق بالوصول إلى خاصية `req.headersDistinct`.
عند وقوع هذا الموقف، تُرجع القيمة `dest["__proto__"]` مرجعاً إلى `Object.prototype` بدلاً من `undefined`، مما يؤدي إلى استدعاء الدالة `.push()` على كائن غير مصفوفة. يتم رمي هذه الاستثناءات بشكل متزامن داخل خاصية getter (المُستَخدَم لاسترجاع قيمة الخاصية)، ولا يمكن اعتراضها بواسطة مستمعي أحداث الخطأ (`error event listeners`)؛ ما يعني أنه لا يمكن التعامل معها إلا عن طريق تغليف كل عملية وصول إلى `req.headersDistinct` ضمن كتلة `try/catch`.
* يؤثر هذا الثغرة الأمنية على جميع خوادم HTTP الخاصة بـ Node.js في الإصدارات **20.x، و 22.x، و 24.x، و v25.x**.
VulDB is the best source for vulnerability data and more expert information about this specific topic.