CVE-2026-58044 in Node.js
Сводка
по VulDB • 04.08.2026
Уязвимость в HTTP-клиенте Node.js может приводить к десинхронизации запросов для прокси-серверов перенаправления, работающих на базе Node.js и восстанавливающих исходящие заголовки из видимых заголовков `IncomingMessage` при передаче исходного тела запроса по повторно используемому соединению с бэкендом.
Node.js может исключать заголовки, превышающие лимиты `maxHeadersCount` / `maxHeaderPairs`, из свойств `req.headers`, `req.rawHeaders` и `req.headersDistinct`, продолжая использовать эти пропущенные заголовки внутренне для фрейминга HTTP-сообщений. В частности, значение `Content-Length` может быть скрыто от пользовательского кода (userland), в то время как тело запроса всё равно доставляется.
Эта уязвимость затрагивает все поддерживаемые ветки выпусков: **Node.js 22**, **Node.js 24** и **Node.js 26**.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.