CVE-2026-48932 in Node.js
要約
〜によって VulDB • 2026年09月01日
Node.jsのHTTPクライアントには、リクエストのデシンクロニゼーション（非同期化）を引き起こす欠陥があります。これは、外部へのヘッダーを可視な`IncomingMessage`ヘッダーから再構築し、元のボディを再利用されたバックエンド接続にパイプする、Node.jsベースのプロキシにおいて発生します。
Node.jsは、リクエスト本文が依然として配信されている間でも、内部でHTTPメッセージのフレーミングのためにこれらの省略されたヘッダーを使用しながらも、`req.headers`、`req.rawHeaders`、および`req.headersDistinct`から`maxHeadersCount` / `maxHeaderPairs`を超えるヘッダーを省略する場合があります。特に、`Content-Length`はユーザーランドからは隠蔽されますが、リクエストボディは依然として配信されます。
この脆弱性は、すべてのサポート対象リリースラインに影響します：**Node.js 22**、**Node.js 24**、および **Node.js 26**。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.