CVE-2026-106069
Açıklama
Node.js TLS ana bilgisayar adı doğrulamasındaki bir hata, ana bilgisayar `0127.0.0.1` gibi başında sıfır olan kanonik olmayan bir IPv4 literal olduğunda, sunucu sertifikasının istemcinin bağlandığı IP adresinden farklı bir IP adresiyle doğrulanmasına neden olabilir. `tls.checkServerIdentity()`, ana bilgisayarı WHATWG URL kurallarına göre normalize eder ve bu kurallar başında sıfır olan bir okteti sekizlik tabanda okur (`0127.0.0.1`, `87.0.0.1` olur); ancak bağlantı, macOS gibi bazı platformlarda bunu onluk tabanda okuyan işletim sistemi çözücü üzerinden gerçekleştirilir (`127.0.0.1`). Bu durumda, bağlanılan adresteki bir sunucu, başka bir IP adresi için düzenlenmiş bir sertifika ile kimliği doğrulanabilir. Bu güvenlik açığı Node.js **26.x**, **24.x** ve **22.x** sürümlerini etkilemektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs node | 22.23.3, 24.22.0, 26.12.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.