CVE-2026-105482

Một lỗ hổng trong quá trình giải quyết DNS của Node.js cho phép tên miền chứa ký tự NUL bị cắt đứt im lặng bởi các hàm dns.resolve*() và dns.reverse(). Đây là một giải pháp không hoàn chỉnh của CVE-2026-48930, chỉ bao gồm dns.lookup() và các tùy chọn host của net/tls. Vì tên được truyền đến c-ares dưới dạng chuỗi C, giải quyết các yêu cầu tên như attacker.example\0.trusted.example sẽ giải quyết attacker.example và trả về các bản ghi của nó mà không có lỗi nào. Các ứng dụng xác thực tên miền, ví dụ như đối với danh sách cho phép miền, và sau đó giải quyết chúng bằng dns.resolve*() có thể hành động dựa trên các bản ghi cho tên khác so với tên họ đã xác thực. Lỗ hổng này ảnh hưởng đến Node.js 26.x, 24.x và 22.x.

Bạn tra cứu quá nhanh — thử lại sau 46 giây.

CVSS (NVD)

7.4 · HIGH

Loại lỗi (CWE)

CWE-284

EPSS (FIRST)

0.47% khả năng bị khai thác trong 30 ngày