- Son 7 gün
- CWE-367
CVE-2026-105481
Node.js HTTP Agent bağlantı yeniden kullanımında yetkisiz yanıt kabul edilmesi sorunu
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- hackerone
ÖzetTürkçe
Node.js HTTP Agent bağlantı yeniden kullanımında, istemcinin isteği göndermeden önce gönderilen bir yanıtı geçerli kabul edip edemeyeceğine dair bir hata bulunmaktadır. Bu, CVE-2026-48931'in eksik bir düzeltmesidir.
Kalıcı bağlantı (keep-alive) için boşta bekleyen soketleri, beklenmeyen veri geldiğinde yok eden koruma mekanizması yalnızca olay döngüsü (event loop) G/Ç için yoklama yaptığında çalışmaktadır. Soket yeni bir isteğe devredilmeden önce, örneğin olay döngüsü senkron işlerle meşgul olduğu için, istenmeden gelen bir yanıt sokete ulaşmış ancak henüz okunmamışsa, koruma mekanizması bu yanıtı görmeden kaldırılır ve veri, yeni isteğin yanıtı olarak ayrıştırılır.
Bu güvenlik açığı **26.x**, **24.x** ve **22.x** sürümlerindeki Node.js'i etkilemektedir.
Kaynaktaki açıklama (İngilizce)
A flaw in Node.js HTTP Agent connection reuse can cause a client to accept as valid a response that was sent before the client has sent the request. This is an incomplete fix of CVE-2026-48931.
The guard that destroys idle keep-alive sockets when unexpected data arrives only runs when the event loop polls for I/O. If an unsolicited response has already reached the socket but has not been read yet when the socket is handed to a new request, for example because the event loop was busy with synchronous work, the guard is removed without seeing it and the data is parsed as the response to the new request.
This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| nodejs node | ≥ 22.23.3, ≤ 22.23.3 | – |
| ≥ 24.22.0, ≤ 24.22.0 | – | |
| ≥ 26.12.0, ≤ 26.12.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.