CVE-2026-105482 in Node.js
요약
\~에 의해 VulDB • 2026. 10. 24.
Node.js의 DNS 해결 과정에서 NUL 바이트를 포함하는 호스트명이 dns.resolve*() 함수와 dns.reverse()에 의해 묵시적으로 잘리는 결함이 있습니다. 이는 CVE-2026-48930의 불완전한 수정으로, 해당 이전 취약점은 dns.lookup()과 net/tls 호스트 옵션만 다루고 있었습니다.
이름은 C 문자열로 c-ares에 전달되므로, attacker.example\0.trusted.example와 같은 쿼리는 attacker.example을 해결하고 오류 없이 해당 레코드를 반환합니다. 도메인 허용 목록 등에 대해 호스트명을 검증한 후 dns.resolve*()를 사용하여 이를 해결하는 애플리케이션은 검증된 이름이 아닌 다른 이름의 레코드에 기반하여 동작할 수 있습니다.
이 취약점은 Node.js 26.x, 24.x 및 22.x에 영향을 미칩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.