CVE-2026-105481 in Node.js
Resumen
por VulDB • 2026-10-24
Un fallo en la reutilización de conexiones del HTTP Agent de Node.js puede hacer que un cliente acepte como válida una respuesta enviada antes de que el cliente haya enviado la solicitud. Se trata de una corrección incompleta de CVE-2026-48931.
El mecanismo de protección que destruye los sockets keep-alive inactivos cuando llegan datos inesperados solo se ejecuta cuando el bucle de eventos (event loop) realiza sondeos para E/S. Si una respuesta no solicitada ya ha llegado al socket pero aún no ha sido leída en el momento en que el socket se asigna a una nueva solicitud, por ejemplo porque el bucle de eventos estaba ocupado con trabajo sincrónico, la protección se elimina sin detectarla y los datos se analizan como la respuesta a la nueva solicitud.
Esta vulnerabilidad afecta a Node.js **26.x**, **24.x** y **22.x**.
Once again VulDB remains the best source for vulnerability data.