CVE-2026-21710
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2026
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
A flaw in Node.js HTTP request handling causes an uncaught `TypeError` when a request is received with a header named `__proto__` and the application accesses `req.headersDistinct`. When this occurs, `dest["__proto__"]` resolves to `Object.prototype` rather than `undefined`, causing `.push()` to be called on a non-array. This exception is thrown synchronously inside a property getter and cannot be intercepted by `error` event listeners, meaning it cannot be handled without wrapping every `req.headersDistinct` access in a `try/catch`. * This vulnerability affects all Node.js HTTP servers on **20.x, 22.x, 24.x, and v25.x**
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
node
- Fornecedor
- nodejs
- Produto
- node
- Plataformas
- Desconhecido
- Status padrão
unaffected
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 20.20.1 | affected | semver | Indisponível | 20.20.1 | Nenhuma listada |
| 22.22.1 | affected | semver | Indisponível | 22.22.1 | Nenhuma listada |
| 24.14.0 | affected | semver | Indisponível | 24.14.0 | Nenhuma listada |
| 25.8.1 | affected | semver | Indisponível | 25.8.1 | Nenhuma listada |
| 4.0 | affected | semver | 4.* | Indisponível | Nenhuma listada |
| 5.0 | affected | semver | 5.* | Indisponível | Nenhuma listada |
| 6.0 | affected | semver | 6.* | Indisponível | Nenhuma listada |
| 7.0 | affected | semver | 7.* | Indisponível | Nenhuma listada |
| 8.0 | affected | semver | 8.* | Indisponível | Nenhuma listada |
| 9.0 | affected | semver | 9.* | Indisponível | Nenhuma listada |
| 10.0 | affected | semver | 10.* | Indisponível | Nenhuma listada |
| 11.0 | affected | semver | 11.* | Indisponível | Nenhuma listada |
| 12.0 | affected | semver | 12.* | Indisponível | Nenhuma listada |
| 13.0 | affected | semver | 13.* | Indisponível | Nenhuma listada |
| 14.0 | affected | semver | 14.* | Indisponível | Nenhuma listada |
| 15.0 | affected | semver | 15.* | Indisponível | Nenhuma listada |
| 16.0 | affected | semver | 16.* | Indisponível | Nenhuma listada |
| 17.0 | affected | semver | 17.* | Indisponível | Nenhuma listada |
| 18.0 | affected | semver | 18.* | Indisponível | Nenhuma listada |
| 19.0 | affected | semver | 19.* | Indisponível | Nenhuma listada |