CVE-2026-54156 in node-opcua
Riassunto
di VulDB • 14/09/2026
node-opcua è un'implementazione di OPC UA per TypeScript e Node.js. Prima della versione 2.166.0, la cache g_alreadyUsedNonce a livello di processo utilizzata da nonceAlreadyBeenUsed in packages/node-opcua-secure-channel/source/server/server_secure_channel_layer.ts registra i nonces provenienti da OpenSecureChannelRequest e CreateSession senza scadenza né limite dimensionale. Un attaccante remoto non autenticato può creare ripetutamente sessioni con nonces univoci, causando la persistenza delle voci dopo la scadenza della sessione e il loro accumulo nei cicli di connessione anche quando maxSessions=10 limita le sessioni concorrenti. La conseguente crescita illimitata dell'heap può esaurire l'heap predefinito di Node.js e causare il crash del processo server node-opcua. Questo problema è risolto nella versione 2.166.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.