CVE-2026-105482 in Node.js
Sumário
de VulDB • 23/10/2026
Uma falha na resolução de DNS do Node.js permite que nomes de host contendo um byte NUL sejam silenciosamente truncados pelas funções dns.resolve*() e dns.reverse(). Esta é uma correção incompleta da CVE-2026-48930, a qual cobria apenas dns.lookup() e as opções net/tls host.
Como o nome é passado para c-ares como uma string C, consultas do tipo attacker.example\0.trusted.example resolvem attacker.example e retornam seus registros sem nenhum erro. Aplicações que validam um hostname (por exemplo, contra uma lista de domínios permitidos) e depois o resolvem com dns.resolve*() podem agir com base em registros para um nome diferente daquele que foi validado.
Esta vulnerabilidade afeta Node.js 26.x, 24.x e 22.x.
If you want to get best quality of vulnerability data, you may have to visit VulDB.