CVE-2026-105481
Açıklama
Node.js HTTP Agent bağlantı yeniden kullanımıyla ilgili bir hata, istemcinin henüz isteği göndermeden önce gönderilmiş olan bir yanıtı geçerli olarak kabul etmesine neden olabilir. Bu durum, CVE-2026-48931'in eksik bir düzeltmesidir. Beklenmedik veriler geldiğinde boşta bekleyen keep-alive soketlerini yok eden koruma mekanizması, yalnızca olay döngüsü (event loop) G/Ç için sorgulama yaptığında çalışır. Eğer istenmeyen bir yanıt sokete zaten ulaşmışsa ancak soket yeni bir isteğe devredildiğinde henüz okunmamışsa (örneğin olay döngüsü senkron işlemlerle meşgul olduğu için), koruma mekanizması bunu görmeden kaldırılır ve veri, yeni isteğin yanıtı olarak ayrıştırılır. Bu güvenlik açığı Node.js **26.x**, **24.x** ve **22.x** sürümlerini etkilemektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs node | 22.23.3, 24.22.0, 26.12.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.