CVE-2026-105483
Təsvir
Node.js TLS host adının yoxlanılmasındakı çatışmazlıq, host non-ASCII simvollarla (məsələn, tam genişlikli rəqəmlər (`１２７.0.0.1`)) yazıldıqda, uyğun IP ünvanı SAN-ı olmayan sertifikatın IPv4 ünvanına olan bağlantını autentifikasiya etməsinə şərait yaradır. `tls.checkServerIdentity()` funksiyası belə hostları, onlar normallaşdırılıb adi IPv4 ünvanına çevrildiyi halda belə, IP ünvanları kimi tanımırdı və onları sertifikatın DNS adları və Common Name ilə müqayisə edirdi. Buna görə də, `DNS:127.0.0.1` və ya `DNS:*.0.0.1` ehtiva edən sertifikat, onun üçün təsdiqlənməmiş IP son nöqtəsi üçün qəbul edilə bilərdi. Bu, CVE-2026-48618 üçün tətbiq edilmiş düzəlişdən sonra yaranan reqressiyadır. Bu zəiflik Node.js **26.x** və **24.x** versiyalarına təsir göstərir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nodejs node | 24.22.0, 26.12.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.