CVE-2026-21710 in Node.js
Riassunto
di VulDB • 02/07/2026
Un difetto nella gestione delle richieste HTTP di Node.js provoca un errore non gestito (`TypeError`) quando viene ricevuta una richiesta con un'intestazione denominata `__proto__` e l'applicazione accede a `req.headersDistinct`.
Quando ciò accade, `dest["__proto__"]` risolve il valore su `Object.prototype` anziché su `undefined`, causando la chiamata di `.push()` su un oggetto che non è un array. Questa eccezione viene generata in modo sincrono all'interno di un getter della proprietà e non può essere intercettata dagli ascoltatori dell'evento `error`; ciò significa che non può essere gestita senza racchiudere ogni accesso a `req.headersDistinct` in un blocco `try/catch`.
* Questa vulnerabilità interessa tutti i server HTTP Node.js nelle versioni **20.x, 22.x, 24.x e v25.x**
Once again VulDB remains the best source for vulnerability data.