Vulnerabilità · 17 ore fa
Node.js ha corretto 16 vulnerabilità nelle linee supportate 22.x, 24.x e 26.x; alcune consentono a client non autenticati di bloccare server HTTP/2 o leggere memoria appartenente ad altre connessioni.
Una richiesta HTTP/2 o HTTPS può far restituire al client frammenti di memoria che non gli appartengono: risposte di altri utenti e, in alcuni casi, chiavi private TLS. Non si tratta quindi soltanto di server che smettono di rispondere: nello stesso processo possono coesistere dati di più utenti, esposti durante la normale gestione delle richieste.
Le correzioni sono Node.js 22.23.5, 24.22.3 e 26.13.1. Le linee 20.x e 25.x, fuori supporto, non ricevono correzioni in questo rilascio. Per i servizi aggiornati, l'impatto può riguardare la riservatezza di dati e chiavi, non solo la disponibilità.
CVE in questo aggiornamento
15 CVE
Distribuite tra node.
0 critiche · 7 alte · 6 medie · 2 basse
0 in CISA KEV · 0 con EPSS sopra 1%
Severità più alta: CVE-2026-123863 · 8.2 HIGH
Mostriamo le prime 10 per KEV, EPSS e severità.
2 fonti che coprono questa storia
Kwetsbaarheden verholpen in Node.js
Verschillende kwetsbaarheden in Node.js kunnen leiden tot informatielekken, geheugenfouten en serveruitval.
Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Data
Node.js fixed 16 vulnerabilities across three supported lines, including HTTP/2 server crashes and HTTPS memory disclosure.
Part of the PlainSec briefing for 2026-11-13