CVE-2026-106069

Một lỗ hổng trong việc xác minh tên máy chủ TLS của Node.js có thể khiến chứng chỉ máy chủ được xác minh chống lại một địa chỉ IP khác so với địa chỉ mà khách hàng kết nối, khi tên là một chuỗi IPv4 không chuẩn có một số hàng đầu là số 0, như `0127.0.0.1`. Theo quy tắc URL của WHATWG, chuỗi số hàng đầu được đọc như hệ số octal (`0127.0.0.1` trở thành `87.0.0.1`), trong khi quá trình kết nối được thực hiện thông qua giải quyết viên hệ thống, trên một số nền tảng như macOS, chuỗi số hàng đầu được đọc như hệ số thập phân (`127.0.0.1`). Do đó, máy chủ tại địa chỉ kết nối có thể được xác thực bằng chứng chỉ được cấp cho một địa chỉ IP khác.

Bạn tra cứu quá nhanh — thử lại sau 32 giây.

CVSS (NVD)

7.4 · HIGH

Loại lỗi (CWE)

CWE-295

EPSS (FIRST)

0.30% khả năng bị khai thác trong 30 ngày