CVE-2026-123863

Nome do Software Vulnerável e Versões Afetadas Node.js versões 24.22.0 até 24.22.2 Node.js versões 26.9.0 até 26.13.0

Descrição Um cliente não autenticado pode causar a negação de serviço remota ao travar o processo do servidor através de conexões HTTP/2 via TLS ou texto simples. Isso ocorre durante o encerramento da sessão HTTP/2 quando um Http2Stream retém buffers de cabeçalho alocados pelo nghttp2 após a sessão ser removida do conjunto de streams, mas não ser desvinculada. Consequentemente, quando o destrutor ~Http2Session() é executado, a contabilização de memória permanece diferente de zero, disparando uma falha de asserção CHECK EQ(current nghttp2 memory , 0) que encerra o processo. Este problema geralmente é acionado quando um manipulador de servidor responde antes que o corpo da requisição tenha terminado.

Recomendações Atualize o Node.js versões 24.22.0 até 24.22.2 para a versão 24.22.3. Atualize o Node.js versões 26.9.0 até 26.13.0 para a versão 26.13.1.