Node.js remediază 16 vulnerabilități

O vulnerabilitate remediată în Node.js permite utilizatorilor neautentificați să provoace blocarea serverelor care utilizează funcționalitatea HTTP/2 integrată în motorul de execuție, în versiunile din seriile 24.x și 26.x. O a doua vulnerabilitate HTTP/2 poate determina un server să trimită unui client fragmente din memoria sa, inclusiv răspunsuri destinate altor conexiuni.

Au fost lansate versiuni remediate pentru toate cele trei linii suportate: 22.23.5, 24.22.3 și 26.13.1.

Vulnerabilitatea care provoacă blocarea, CVE-2026-123863, necesită doar un server HTTP/2 implicit care răspunde înainte ca body-ul cererii să fi ajuns în întregime. Proiectul Node.js califică acest comportament drept tipic. Blocarea funcționează atât pe conexiunile TLS, cât și pe cele în text clar.

Vulnerabilitatea de memorie, CVE-2026-123866, afectează toate cele trei linii. Începând cu versiunile 24.22.0 și 26.9.0, aceasta poate fi declanșată doar de către un client. În versiunile 22.x și în versiunile mai vechi din seriile 24.x și 26.x, vulnerabilitatea poate fi declanșată și atunci când serverul însuși închide un flux în timpul unui răspuns, de exemplu după expirarea timpului de inactivitate.

O vulnerabilitate separată în serverele HTTPS Node.js, CVE-2026-123864, poate permite unui client neautentificat să citească memoria altor conexiuni, inclusiv cheile private TLS și cererile altor utilizatori, precizează echipa proiectului. Aceasta afectează toate cele trei versiuni suportate.

Vulnerabilitatea necesită un handler care să apeleze res.flushHeaders() înainte ca solicitarea să fie primită în întregime și care să apeleze ulterior res.end() cu datele. Citirea memoriei expuse necesită, de asemenea, o rută care să returneze sau să stocheze corpul solicitării. Serverele HTTP simple construite cu node:http nu sunt afectate.

Această versiune remediază 16 vulnerabilități din Node.js, dintre care șapte sunt clasificate ca având un grad de severitate high. Celelalte patru vulnerabilități cu grad de severitate high, precum și serverele pe care le afectează sunt:

CVE-2026-123865: un client poate determina orice server HTTP/2 implicit să rețină permanent memoria și descriptorii de fișiere, pe toate cele trei linii;

CVE-2026-123874: un client poate corupe memoria serverului în versiunile 24.x și 26.x atunci când serverul furnizează fișiere folosind metodele stream.respondWithFile() sau stream.respondWithFD(). În toate cele trei cazuri, anularea acestor descărcări poate provoca, de asemenea, blocarea serverului (CVE-2026-123875, nivel de severitate mediu);

CVE-2026-126051: un client poate provoca blocarea unui server TLS în versiunile 24.x și 26.x dacă serverul utilizează hook-urile SNICallback, OCSPRequest, newSession sau resumeSession, sau metoda server.addContext();

CVE-2026-123872: pe un server TLS care aplică reguli mai stricte privind certificatele client pentru anumite hostname-uri, un client autorizat pentru un alt hostname poate trece la  unul cu reguli mai stricte în timpul renegocierii TLS 1.2, fără a respecta regulile respective. Toate cele trei linii sunt afectate.

Vulnerabilitățile menționate mai sus se regăsesc toate în codul propriu al serverului Node.js pentru HTTP/2, HTTPS și TLS, astfel încât acestea sunt relevante în cazul în care un proces Node.js acceptă el însuși aceste conexiuni.

Actualizarea la versiunea remediată pentru fiecare linie de cod reprezintă singura soluție prezentată în avizul de securitate al proiectului. Acesta nu menționează nicio soluție alternativă pentru serverele care nu pot fi încă actualizate.

Versiunile ajunse la sfârșitul perioadei de funcționare, inclusiv 20.x și 25.x, nu beneficiază de remedieri în această versiune, iar echipa proiectului precizează că aceste versiuni sunt întotdeauna afectate.

Avizul nu menționează existența vreunui atac care să fi exploatat aceste vulnerabilități. De asemenea, nu precizează dacă serverele care îndeplineau condițiile pentru vulnerabilitatea HTTPS ar trebui să își înlocuiască cheile TLS sau alte date confidențiale după actualizare.

Sursă: https://thehackernews.com/2026/11/nodejs-fixes-16-flaws-including-http2.html