CVE-2026-105481 in Node.js
Zusammenfassung
von VulDB • 23.10.2026
Ein Fehler in der Wiederverwendung von Verbindungen durch den HTTP-Agenten von Node.js kann dazu führen, dass ein Client eine Antwort als gültig akzeptiert, die gesendet wurde, bevor der Client die Anfrage selbst abgeschickt hat. Dies ist eine unvollständige Korrektur für CVE-2026-48931.
Der Schutzmechanismus, der inaktive Keep-Alive-Sockets zerstört, wenn unerwartete Daten eintreffen, wird nur ausgeführt, wenn die Event Loop auf I/O wartet (pollt). Wenn eine unangeforderte Antwort bereits den Socket erreicht hat, aber noch nicht gelesen wurde, bevor der Socket für eine neue Anfrage verwendet wird – beispielsweise weil die Event Loop mit synchronen Arbeiten beschäftigt war –, wird dieser Schutzmechanismus entfernt, ohne dass er wirksam werden kann. Die Daten werden daraufhin als Antwort auf die neue Anfrage interpretiert und verarbeitet.
Diese Schwachstelle betrifft Node.js **26.x**, **24.x** und **22.x**.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.