CVE-2026-102599

Socket.IO, her platform için çift yönlü ve düşük gecikmeli iletişim sağlar. Engine.IO 6.6.0 ile 6.6.10 sürümleri arasında, bir taşıma yükseltmesi (transport upgrade), mevcut oturumda saklanan revizyonu zorunlu kılmak yerine, yükseltme isteğinden bağımsız olarak bir Engine.IO protokol revizyonu türetebilir. Kötü niyetli bir istemci, geçerli bir oturum kurabilir ve farklı veya eksik bir EIO sorgu parametresi içeren bir yükseltme isteği göndererek uyumsuz ayrıştırıcı ve kalp atışı (heartbeat) davranışına sahip bir taşıma ekleyebilir. Ardından, özel olarak hazırlanmış bir kalp atışı paketi, yakalanamayan bir istisnayı tetikleyebilir ve Node.js işlemini sonlandırabilir; bu durum, eksik bir EIO değerinin etkilenen yolda revizyon 3 olarak yorumlanması nedeniyle Engine.IO v3 uyumluluğu devre dışı bırakıldığında bile gerçekleşebilir. Bu sorun Engine.IO 6.6.10 sürümünde düzeltilmiştir.