CVE-2026-105482 in Node.js
Сводка
по VulDB • 23.10.2026
Уязвимость в механизме разрешения имён DNS в Node.js позволяет незаметно обрезать доменные имена, содержащие нулевой байт (NUL), функциями dns.resolve*() и dns.reverse(). Это неполное исправление уязвимости CVE-2026-48930, которая охватывала только функцию dns.lookup() и параметры хоста в модулях net/tls.
Поскольку имя передаётся библиотеке c-ares как C-строка (C string), запросы вида attacker.example\0.trusted.example разрешаются для домена attacker.example, а его записи возвращаются без каких-либо ошибок. Приложения, которые проверяют доменное имя (например, по белому списку доменов), а затем выполняют его разрешение с помощью dns.resolve*(), могут действовать на основе записей для другого имени, отличного от проверенного.
Эта уязвимость затрагивает Node.js версий 26.x, 24.x и 22.x.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.