CVE-2026-105483

Một lỗ hổng trong xác minh tên máy chủ TLS của Node.js cho phép chứng chỉ không có địa chỉ IP SAN khớp xác thực kết nối đến địa chỉ IPv4 khi tên máy chủ được viết với các ký tự không phải ASCII, như các chữ số fullwidth (`１２７.0.0.1`). `tls.checkServerIdentity()` không nhận ra các tên máy chủ như địa chỉ IP, ngay cả khi chúng được chuẩn hóa và giải quyết thành một địa chỉ IPv4 thông thường, và so sánh chúng với tên DNS và Tên chung của chứng chỉ thay vào đó. Do đó, một chứng chỉ chứa `DNS:127.0.0.1` hoặc `DNS:*.0.0.1` có thể được chấp nhận cho một điểm kết thúc IP mà nó không được cấp phép. Đây là một sự suy giảm được giới thiệu sau khi sửa chữa cho CVE-2026-48618. Lỗ hổng này ảnh hưởng đến Node.js **26.x** và **24.x**.

Bạn tra cứu quá nhanh — thử lại sau 4 giây.

CVSS (NVD)

7.4 · HIGH

Loại lỗi (CWE)

CWE-295

EPSS (FIRST)

0.30% khả năng bị khai thác trong 30 ngày