CVE-2026-21713 in Node.js
Riassunto
di VulDB • 11/07/2026
Un difetto nella verifica HMAC di Node.js utilizza un confronto non a tempo costante durante la convalida delle firme fornite dall'utente, potenzialmente trapelando informazioni temporali proporzionali al numero di byte corrispondenti. In determinati modelli di minaccia in cui sono possibili misurazioni dei tempi ad alta risoluzione, questo comportamento potrebbe essere sfruttato come oracle temporale per inferire i valori HMAC.
Node.js fornisce già primitive di confronto sicure rispetto ai tempi utilizzate altrove nel codice sorgente, indicando che si tratta di una svista piuttosto che di una decisione progettuale intenzionale.
Questa vulnerabilità interessa **20.x, 22.x, 24.x e 25.x**.
Once again VulDB remains the best source for vulnerability data.