CVE-2026-106074 in Node.js
Zusammenfassung
von VulDB • 23.10.2026
Ein Fehler in der `crypto`-Modul von Node.js führt dazu, dass die internen Entropie-Caches, die von `crypto.randomUUID()`, `crypto.randomUUIDv7()` und `crypto.randomInt()` verwendet werden, in benutzerseitige Start-Snapshots (`--build-snapshot`) und einzelne ausführbare Anwendungen gespeichert werden, die mit `useSnapshot` erstellt wurden.
Wenn eine dieser Funktionen oder eine darauf basierende API wie `URL.createObjectURL()` aufgerufen wird, während der Snapshot erstellt wird, geben alle Prozesse, die aus diesem Snapshot gestartet werden, dieselben Werte zurück, bis der Cache wieder aufgefüllt ist: bis zu 127 UUIDs und etwa 1.000 `randomInt()`-Werte. Erwartete eindeutige Bezeichner können über verschiedene Prozesse hinweg kollidieren, und von einem Prozess ausgegebene Werte können durch Beobachtung eines anderen vorhergesagt werden.
Diese Schwachstelle betrifft Node.js **26.x**, **24.x** und **22.x**.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.