CVE-2026-48932 in Node.js
Résumé
par VulDB • 01/09/2026
Une faille dans le client HTTP de Node.js peut provoquer une désynchronisation des requêtes pour les proxies de transfert basés sur Node.js qui reconstruisent les en-têtes sortants à partir des en-têtes `IncomingMessage` visibles tout en transférant (piping) le corps original vers une connexion backend réutilisée.
Node.js peut omettre les en-têtes au-delà de la limite définie par `maxHeadersCount` / `maxHeaderPairs` dans `req.headers`, `req.rawHeaders` et `req.headersDistinct`, tout en utilisant ces en-têtes omis internement pour le cadrage (framing) des messages HTTP. En particulier, l'en-tête `Content-Length` peut être masqué au niveau de l'espace utilisateur (userland) tandis que le corps de la requête est toujours transmis.
Cette vulnérabilité affecte toutes les lignes de versions prises en charge : **Node.js 22**, **Node.js 24** et **Node.js 26**.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.