CVE-2026-21710

Node.js HTTP sorğularının idarə edilməsindəki bir çatışmazlıq, `__proto__` adlı başlıqla sorğu daxil olduqda və tətbiq `req.headersDistinct` hissəsinə müraciət etdikdə tutulmamış `TypeError` xətasına səbəb olur. Bu baş verdikdə, `dest["__proto__"]` ifadəsi `undefined` əvəzinə `Object.prototype` olaraq təyin edilir və bu da massiv olmayan obyekt üzərində `.push()` metodunun çağırılmasına gətirib çıxarır. Bu istisna, xüsusiyyət getteri (property getter) daxilində sinxron şəkildə atılır və `error` hadisə dinləyiciləri tərəfindən tutula bilmir; bu o deməkdir ki, hər bir `req.headersDistinct` müraciəti `try/catch` blokuna alınmadan bu xətanı idarə etmək mümkün deyil. * Bu zəiflik **20.x, 22.x, 24.x və v25.x** versiyalarındakı bütün Node.js HTTP serverlərinə təsir edir.