CVE-2026-21710

Node.js HTTP istek işleme sürecindeki bir hata, `__proto__` adlı bir başlıkla istek alındığında ve uygulama `req.headersDistinct` özelliğine eriştiğinde yakalanamayan bir `TypeError` hatasına neden olur. Bu durum gerçekleştiğinde, `dest["__proto__"]` ifadesi `undefined` yerine `Object.prototype` olarak çözümlenir ve bu da dizi olmayan bir nesne üzerinde `.push()` fonksiyonunun çağrılmasına yol açar. Bu istisna, bir özellik getirici (property getter) içinde senkron olarak fırlatılır ve `error` olay dinleyicileri tarafından yakalanamaz; bu da her `req.headersDistinct` erişiminin bir `try/catch` bloğuna alınmadan işlemin yönetilemeyeceği anlamına gelir. * Bu güvenlik açığı, **20.x, 22.x, 24.x ve v25.x** sürümlerindeki tüm Node.js HTTP sunucularını etkilemektedir.