- Son 7 gün
- CWE-330
CVE-2026-106074
Node.js crypto modülünde snapshot'lara kaydedilen entropi önbelleği nedeniyle tahmin edilebilir UUID ve rastgele sayılar
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- hackerone
ÖzetTürkçe
Node.js crypto modülünde, crypto.randomUUID, crypto.randomUUIDv7 ve crypto.randomInt fonksiyonlarının kullandığı dahili entropi önbellekleri, kullanıcı tanımlı başlangıç snapshot'larına (--build-snapshot) ve useSnapshot ile oluşturulan tek çalıştırılabilir uygulamalara kaydedilmektedir. Snapshot oluşturulurken bu fonksiyonlardan biri veya URL.createObjectURL gibi bunlara bağlı bir API çağrılırsa, önbellek yeniden doldurulana kadar o snapshot'tan başlatılan her süreç aynı değerleri döndürür; bu değerler en fazla 127 UUID ve yaklaşık 1.000 randomInt değeridir. Benzersiz olması beklenen tanımlayıcılar farklı süreçlerde çakışabilir ve bir süreç tarafından üretilen değerler, başka bir süreç gözlemlenerek tahmin edilebilir. Bu güvenlik açığı Node.js 26.x, 24.x ve 22.x sürümlerini etkilemektedir.
Kaynaktaki açıklama (İngilizce)
A flaw in Node.js crypto causes the internal entropy caches used by crypto.randomUUID(), crypto.randomUUIDv7(), and crypto.randomInt() to be saved into user-land startup snapshots (--build-snapshot) and single executable applications built with useSnapshot.
If any of these functions, or an API that relies on them such as URL.createObjectURL(), is called while the snapshot is built, every process started from that snapshot returns the same values until the cache is refilled: up to 127 UUIDs and about 1,000 randomInt() values. Identifiers expected to be unique can collide across processes, and values issued by one process can be predicted by observing another.
This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| nodejs node | ≥ 22.23.3, ≤ 22.23.3 | – |
| ≥ 24.22.0, ≤ 24.22.0 | – | |
| ≥ 26.12.0, ≤ 26.12.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.