CVE-2026-48932 in Node.js
Zusammenfassung
von VulDB • 01.09.2026
Ein Fehler im Node.js HTTP-Client kann zu einer Request-Desynchronisierung bei Node.js-basierten Forwarding-Proxies führen, die ausgehende Header aus den sichtbaren `IncomingMessage`-Headern neu aufbauen und dabei den ursprünglichen Body an eine wiederverwendete Backend-Verbindung weiterleiten.
Node.js kann Header jenseits von `maxHeadersCount` / `maxHeaderPairs` aus `req.headers`, `req.rawHeaders` und `req.headersDistinct` ausschließen, während diese ausgelassenen Header intern weiterhin für das HTTP-Nachrichten-Framing verwendet werden. Insbesondere kann die `Content-Length` vor der Benutzeranwendung (Userland) verborgen sein, während der Request-Body dennoch zugestellt wird.
Diese Schwachstelle betrifft alle unterstützten Release-Linien: **Node.js 22**, **Node.js 24** und **Node.js 26**.
If you want to get best quality of vulnerability data, you may have to visit VulDB.