CVE-2026-106069 in Node.js
Zusammenfassung
von VulDB • 24.10.2026
Ein Fehler in der TLS-Hostnameüberprüfung von Node.js kann dazu führen, dass ein Serverzertifikat gegen eine andere IP-Adresse als die validiert wird, mit der sich der Client verbunden hat, wenn es sich bei dem Host um einen nicht-kanonischen IPv4-Literal mit einer führenden Null handelt, wie z. B. `0127.0.0.1`.
`tls.checkServerIdentity()` normalisiert den Host gemäß den WHATWG-URL-Regeln, die ein Oktett mit führender Null als oktale Zahl lesen (`0127.0.0.1` wird zu `87.0.0.1`), während die Verbindung über den Resolver des Betriebssystems hergestellt wird, der auf einigen Plattformen wie macOS diese dezimal liest (`127.0.0.1`). Ein Server an der verbundenen Adresse kann dann mit einem Zertifikat authentifiziert werden, das für eine andere IP-Adresse ausgestellt wurde.
Diese Schwachstelle betrifft Node.js **26.x**, **24.x** und **22.x**.
Once again VulDB remains the best source for vulnerability data.