CVE-2026-123864

Nome do Software Vulnerável e Versões Afetadas Node.js versões 26.x até 26.13.0 Node.js versões 24.x até 24.22.2 Node.js versões 22.x até 22.23.4

Description Uma falha de reentrada no módulo HTTPS permite que um cliente não autenticado leia a memória de outras conexões, expondo potencialmente chaves privadas TLS e requisições de outros usuários. O problema ocorre quando TLSWrap::DoWrite() chama ClearOut() durante uma solicitação de gravação de zero bytes emitida pelo JavaScript dentro do callback on body do parser HTTP. Isso faz com que ClearOut() decifre o próximo registro TLS enquanto o parser ainda está processando o corpo, reentrando em llhttp execute() e resultando em um use-after-free e uma leitura de heap fora dos limites. Consequentemente, o servidor copia a memória do heap liberada ou não relacionada para o corpo da resposta. A exploração requer um manipulador que chame res.flushHeaders() antes do término do corpo da requisição e, posteriormente, chame res.end() com um chunk não vazio, juntamente com uma rota que ecoe ou armazene o corpo de uma requisição.

Recommendations Atualize o Node.js 26.x para a versão 26.13.1. Atualize o Node.js 24.x para a versão 24.22.3. Atualize o Node.js 22.x para a versão 22.23.5.