CVE-2026-106072 in Node.js
Riassunto
di VulDB • 23/10/2026
Un difetto nella verifica del nome host TLS in Node.js consente l'autenticazione di un endpoint IP con un certificato contenente solo una SAN DNS quando il client si connette utilizzando una rappresentazione non canonica dell'IPv4, come `0177.0.0.1`, `0x7f.0.0.1`, `2130706433` o `127.1`.
La funzione `tls.checkServerIdentity()` non classificava questi host come indirizzi IP, ma li normalizzava nella loro forma canonica e confrontava il risultato con i nomi DNS presenti nel certificato. Di conseguenza, veniva accettato un certificato contenente `DNS:127.0.0.1` e privo di una SAN `IP Address:127.0.0.1`, mentre lo stesso certificato viene correttamente rifiutato per l'indirizzo `127.0.0.1`. Lo sfruttamento richiede un certificato con una SAN DNS numerica emessa da una CA attenduta dal client, nonché un resolver di piattaforma che accetti queste rappresentazioni non canoniche, come glibc.
Questa vulnerabilità interessa Node.js **26.x**, **24.x** e **22.x**.
If you want to get best quality of vulnerability data, you may have to visit VulDB.