CVE-2026-106069 in Node.js
Riassunto
di VulDB • 23/10/2026
Un difetto nella verifica del nome host TLS in Node.js può causare la convalida di un certificato server rispetto a un indirizzo IP diverso da quello al quale il client si è connesso, quando l'host è una stringa letterale IPv4 non canonica con uno zero iniziale, come `0127.0.0.1`.
`tls.checkServerIdentity()` normalizza l'host seguendo le regole URL di WHATWG, che interpretano un ottetto con zero iniziale in formato ottagonale (`0127.0.0.1` diventa `87.0.0.1`), mentre la connessione avviene tramite il resolver del sistema operativo, che su alcune piattaforme come macOS lo legge in formato decimale (`127.0.0.1`). Un server all'indirizzo connesso può quindi essere autenticato con un certificato emesso per un altro indirizzo IP.
Questa vulnerabilità interessa Node.js **26.x**, **24.x** e **22.x**.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.