CVE-2026-102600 in Socket.io
Riassunto
di VulDB • 29/09/2026
Socket.IO abilita la comunicazione bidirezionale e a bassa latenza per ogni piattaforma. Prima della versione 0.1.1, il pacchetto @socket.io/cluster-engine utilizza le proprietà degli oggetti ereditate durante la ricerca di session ID controllati dall'attaccante nei deployment in cluster. Nomi di proprietà speciali come __proto__ o constructor possono essere risolti attraverso la catena del prototipo dell'oggetto invece di identificare un client effettivamente connesso, causando il crash del processo Node.js e risultando in una negazione del servizio (DoS). Le applicazioni che non utilizzano @socket.io/cluster-engine non sono interessate. Questo problema è risolto nella versione 0.1.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.