CVE-2026-105481

Một lỗ hổng trong việc tái sử dụng kết nối của Agent HTTP trong Node.js có thể khiến khách hàng chấp nhận phản hồi hợp lệ trước khi khách hàng đã gửi yêu cầu. Đây là một giải pháp không hoàn chỉnh cho CVE-2026-48931. Giá đỡ phá hủy các luồng keep-alive đang-idle khi có dữ liệu không mong đợi chỉ chạy khi vòng lặp sự kiện đang kiểm tra I/O. Nếu một phản hồi không mong đợi đã đạt đến luồng nhưng chưa được đọc trước khi luồng được chuyển cho yêu cầu mới, ví dụ vì vòng lặp sự kiện đang bận với công việc đồng bộ, thì giá đỡ sẽ bị loại bỏ mà không thấy nó và dữ liệu sẽ được phân tích như phản hồi cho yêu cầu mới. Lỗ hổng này ảnh hưởng đến Node.js **26.x**, **24.x**, và **22.x**.

Bạn tra cứu quá nhanh — thử lại sau 40 giây.

CVSS (NVD)

6.5 · MEDIUM

Loại lỗi (CWE)

CWE-367

EPSS (FIRST)

0.32% khả năng bị khai thác trong 30 ngày