- Son 7 gün
- CWE-295
CVE-2026-105483
Node.js TLS sunucu kimliği doğrulamasında IPv4 adreslerinde sertifika atlatma açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- hackerone
ÖzetTürkçe
Node.js TLS ana bilgisayar adı doğrulamasında bir hata, IP adresi SAN'ı içermeyen bir sertifikanın, ana bilgisayar adı ASCII olmayan karakterlerle (örneğin tam genişlikli rakamlar, １２７.0.0.1) yazıldığında bir IPv4 adresine yapılan bağlantıyı doğrulamasına izin veriyor. tls.checkServerIdentity bu tür ana bilgisayarları IP adresi olarak tanımıyor; oysa bunlar normalleştirildikten sonra normal bir IPv4 adresine çözümleniyor. Bunun yerine bu adresler sertifikadaki DNS adları ve Common Name ile eşleştiriliyor. Bu nedenle DNS:127.0.0.1 veya DNS:*.0.0.1 içeren bir sertifika, bu sertifika için düzenlenmemiş bir IP uç noktası için kabul edilebiliyor. Bu bir gerileme (regression) olup CVE-2026-48618 düzeltmesinden sonra ortaya çıkmıştır. Bu güvenlik açığı Node.js **26.x** ve **24.x** sürümlerini etkiliyor.
Kaynaktaki açıklama (İngilizce)
A flaw in Node.js TLS hostname verification allows a certificate without a matching IP address SAN to authenticate a connection to an IPv4 address when the host is written with non-ASCII characters, such as fullwidth digits (１２７.0.0.1).
tls.checkServerIdentity() did not recognize such hosts as IP addresses, even though they normalize and resolve to a regular IPv4 address, and matched them against the certificate DNS names and Common Name instead. A certificate containing DNS:127.0.0.1 or DNS:*.0.0.1 could therefore be accepted for an IP endpoint it was not issued for. This is a regression introduced after the fix for CVE-2026-48618.
This vulnerability affects Node.js **26.x** and **24.x**.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| nodejs node | ≥ 24.22.0, ≤ 24.22.0 | – |
| ≥ 26.12.0, ≤ 26.12.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.