CVE-2026-126051

Nome do Software Vulnerável e Versões Afetadas Node.js versões 24.x Node.js versões 26.x

Description Um problema de use-after-destroy no tratamento do handshake do servidor TLS permite que um atacante remoto e não autenticado encerre o processo do servidor. Isso ocorre quando um servidor TLS utiliza server.addContext() ou hooks como SNICallback, OCSPRequest, newSession ou resumeSession. Nesses casos, as callbacks do OpenSSL são adiadas, mas o sistema não trata cenários onde o socket subjacente é destruído entre o agendamento e a execução do código adiado. Um atacante pode disparar isso enviando um client hello que atinja o caminho vulnerável, seguido de preenchimento (padding) e um socket FIN, fazendo com que o processo gere uma exceção não capturada em vez de emitir um evento 'error'.

Recommendations Atualize a versão 24.x do Node.js para uma versão corrigida. Atualize a versão 26.x do Node.js para uma versão corrigida.