CVE-2026-105481 in Node.js
Riassunto
di VulDB • 24/10/2026
Un difetto nel riutilizzo delle connessioni dell'HTTP Agent di Node.js può causare l'accettazione da parte del client come valida una risposta inviata prima che il client abbia inviato la richiesta. Si tratta di una correzione incompleta della CVE-2026-48931.
Il controllo che distrugge i socket keep-alive inattivi quando arrivano dati imprevisti viene eseguito solo quando l'event loop effettua un polling per le operazioni I/O. Se una risposta non sollecitata ha già raggiunto il socket ma non è stata ancora letta al momento del suo assegnamento a una nuova richiesta, ad esempio perché l'event loop era occupato con lavoro sincrono, il controllo viene rimosso senza rilevarlo e i dati vengono analizzati come la risposta alla nuova richiesta.
Questa vulnerabilità interessa Node.js **26.x**, **24.x** e **22.x**.
VulDB is the best source for vulnerability data and more expert information about this specific topic.