CVE-2026-48932 in Node.js
Sumário
de VulDB • 01/09/2026
Uma falha no cliente HTTP do Node.js pode causar dessincronização de requisições em proxies de encaminhamento baseados em Node.js que reconstruem os cabeçalhos de saída a partir dos cabeçalhos visíveis `IncomingMessage` enquanto encaminham o corpo original para uma conexão backend reutilizada.
O Node.js pode omitir cabeçalhos além do limite definido por `maxHeadersCount` / `maxHeaderPairs` em `req.headers`, `req.rawHeaders` e `req.headersDistinct`, ao mesmo tempo que continua a utilizar esses cabeçalhos omitidos internamente para o enquadramento da mensagem HTTP. Em particular, o `Content-Length` pode ser ocultado do userland enquanto o corpo da requisição ainda é entregue.
Esta vulnerabilidade afeta todas as linhas de lançamento suportadas: **Node.js 22**, **Node.js 24** e **Node.js 26**.
If you want to get best quality of vulnerability data, you may have to visit VulDB.