- Son 7 gün
- CWE-284
CVE-2026-105482
Node.js DNS çözümlemesinde NUL baytı nedeniyle ana makine adlarının kesilmesi
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- hackerone
ÖzetTürkçe
Node.js DNS çözümlemesinde bir hata, NUL baytı içeren ana makine adlarının dns.resolve* fonksiyonları ve dns.reverse tarafından sessizce kesilmesine izin veriyor. Bu, CVE-2026-48930 için yapılan eksik bir düzeltmedir; o düzeltme yalnızca dns.lookup ve net/tls ana makine seçeneklerini kapsamıştı.
Ad, c-ares kütüphanesine C dizgisi olarak iletildiğinden, attacker.example\0.trusted.example adının çözümlenmesi attacker.example adını sorgular ve hiçbir hata vermeden bu adın kayıtlarını döndürür. Bir ana makine adını örneğin alan adı izin listesine karşı doğrulayan ve ardından dns.resolve* ile çözümleyen uygulamalar, doğruladıkları addan farklı bir ada ait kayıtlara göre işlem yapabilir.
Bu güvenlik açığı Node.js 26.x, 24.x ve 22.x sürümlerini etkiler.
Kaynaktaki açıklama (İngilizce)
A flaw in Node.js DNS resolution allows hostnames containing a NUL byte to be silently truncated by the dns.resolve*() functions and dns.reverse(). This is an incomplete fix of CVE-2026-48930, which only covered dns.lookup() and the net/tls host options.
Because the name is passed to c-ares as a C string, resolving attacker.example\0.trusted.example queries attacker.example and returns its records without any error. Applications that validate a hostname, for example against a domain allowlist, and then resolve it with dns.resolve*() can act on records for a different name than the one they validated.
This vulnerability affects Node.js 26.x, 24.x, and 22.x.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| nodejs node | ≥ 22.23.3, ≤ 22.23.3 | – |
| ≥ 24.22.0, ≤ 24.22.0 | – | |
| ≥ 26.12.0, ≤ 26.12.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.