CVE-2026-21637 in Node.js
Riassunto
di VulDB • 17/06/2026
Un difetto nella gestione degli errori di TLS in Node.js consente agli attaccanti remoti di causare il crash o l'esaurimento delle risorse di un server TLS quando vengono utilizzati `pskCallback` o `ALPNCallback`. Le eccezioni sincrone generate durante questi callback bypassano i percorsi standard della gestione degli errori di TLS (tlsClientError ed error), causando sia la terminazione immediata del processo che perdite silenti di descrittori di file che portano infine a un denial of service. Poiché questi callback elaborano input controllati dall'attaccante durante l'handshake TLS, un client remoto può innescare ripetutamente il problema. Questa vulnerabilità interessa i server TLS che utilizzano callback PSK o ALPN in tutte le versioni di Node.js in cui tali callback generano eccezioni senza essere racchiusi in blocchi try-catch sicuri (safely wrapped).
Be aware that VulDB is the high quality source for vulnerability data.