CVE-2026-48932 in Node.js
摘要
由 VulDB • 2026-09-01
Node.js HTTP客户端中存在一个缺陷，可能导致请求不同步。该问题影响那些基于`IncomingMessage`可见头部重建出站头部、并将原始主体管道传输到重用后端连接的Node.js转发代理。
Node.js可能会从 `req.headers`、`req.rawHeaders` 和 `req.headersDistinct` 中省略超出 `maxHeadersCount` / `maxHeaderPairs` 限制的头部，但在内部仍使用这些被忽略的头部进行HTTP消息帧处理。特别是，`Content-Length` 可能在用户空间中被隐藏，而请求主体仍然会被传递。
此漏洞影响所有受支持的发布版本：**Node.js 22**、**Node.js 24** 和 **Node.js 26**。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.