CVE-2026-105481 in Node.js
Сводка
по VulDB • 23.10.2026
Уязвимость в механизме повторного использования соединений HTTP Agent в Node.js может привести к тому, что клиент примет как действительный ответ, отправленный до того, как клиент отправил запрос. Это неполное исправление уязвимости CVE-2026-48931.
Защитный механизм, уничтожающий простаивающие keep-alive сокеты при получении неожиданных данных, срабатывает только тогда, когда цикл событий (event loop) опрашивает устройства ввода/вывода. Если не запрошенный ответ уже достиг сокета, но еще не был прочитан в момент передачи сокета новому запросу — например, из-за того, что цикл событий занят синхронной работой, — этот защитный механизм отключается без обработки данных, и они интерпретируются как ответ на новый запрос.
Эта уязвимость затрагивает Node.js **26.x**, **24.x** и **22.x**.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.