- Son 7 gün
- CWE-295
CVE-2026-106069
Node.js TLS sunucu sertifikası doğrulamasında IPv4 adresi ayrıştırma hatası
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- hackerone
ÖzetTürkçe
Node.js TLS ana makine adı doğrulamasında bir kusur bulunmaktadır. Ana makine, 0127.0.0.1 gibi baştaki sıfırı olan kanonik olmayan bir IPv4 adresi olduğunda, sunucu sertifikası istemcinin bağlandığı IP adresi yerine farklı bir IP adresine karşı doğrulanabilmektedir. tls.checkServerIdentity ana makine adını WHATWG URL kurallarına göre normalleştirmekte ve baştaki sıfırı olan oktedi sekizlik (octal) olarak okumaktadır; bu durumda 0127.0.0.1 adresi 87.0.0.1 olmaktadır. Bağlantı ise işletim sistemi çözümleyicisi üzerinden kurulmakta ve macOS gibi bazı platformlarda aynı adres ondalık olarak okunarak 127.0.0.1 olarak çözümlenmektedir. Bu durumda bağlanılan adreste bulunan bir sunucu, başka bir IP adresi için verilmiş bir sertifikayla kimlik doğrulamasından geçebilmektedir. Bu güvenlik açığı **26.x**, **24.x** ve **22.x** sürümlerindeki Node.js'i etkilemektedir.
Kaynaktaki açıklama (İngilizce)
A flaw in Node.js TLS hostname verification can cause a server certificate to be validated against a different IP address than the one the client connected to, when the host is a non-canonical IPv4 literal with a leading zero, such as 0127.0.0.1.
tls.checkServerIdentity() normalizes the host following the WHATWG URL rules, which read a leading-zero octet as octal (0127.0.0.1 becomes 87.0.0.1), while the connection is made through the operating system resolver, which on some platforms such as macOS reads it as decimal (127.0.0.1). A server at the connected address can then be authenticated with a certificate issued for another IP address.
This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| nodejs node | ≥ 22.23.3, ≤ 22.23.3 | – |
| ≥ 24.22.0, ≤ 24.22.0 | – | |
| ≥ 26.12.0, ≤ 26.12.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.