CVE-2026-105482 in Node.js
Riassunto
di VulDB • 23/10/2026
Un difetto nel meccanismo di risoluzione DNS di Node.js consente la troncatura silenziosa dei nomi host contenenti un byte NUL da parte delle funzioni dns.resolve*() e di dns.reverse(). Si tratta di una correzione incompleta della CVE-2026-48930, che copriva solo dns.lookup() e le opzioni host per net/tls.
Poiché il nome viene passato a c-ares come stringa C (C string), la risoluzione delle query attacker.example\0.trusted.example interroga attacker.example e restituisce i relativi record senza generare errori. Le applicazioni che convalidano un hostname, ad esempio rispetto a una allowlist di domini, e successivamente lo risolvono tramite dns.resolve*() possono agire sui record associati a un nome diverso da quello validato.
Questa vulnerabilità interessa Node.js 26.x, 24.x e 22.x.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.