Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Node.js łata 16 luk, w tym błędy HTTP/2 zawieszające serwery i ujawniające pamięć

Node.js wydał wersje 22.23.5, 24.22.3 i 26.13.1 z poprawkami 16 luk. Błędy HTTP/2 i HTTPS pozwalają zawiesić serwer albo odczytać pamięć innych połączeń.

Karta wpisu: Node.js łata 16 luk, w tym błędy HTTP/2 zawieszające serwery i ujawniające pamięć

Node.js usunął 16 luk we własnym kodzie, siedem z nich ma ocenę wysoką. Poprawki są w wersjach 22.23.5, 24.22.3 i 26.13.1. Luka CVE-2026-123863 pozwala niezalogowanemu klientowi zawiesić serwer HTTP/2. Przez CVE-2026-123866 serwer może wysłać klientowi fragmenty pamięci, w tym odpowiedzi przeznaczone dla innych połączeń. CVE-2026-123864 w serwerach HTTPS może ujawnić pamięć innych połączeń, łącznie z kluczami prywatnymi TLS i żądaniami innych użytkowników. Komunikat projektu nie wspomina o atakach.

Kogo dotyczy

Zawieszenie dotyczy linii 24.x i 26.x z domyślnym serwerem HTTP/2, zarówno przez TLS, jak i bez szyfrowania. Wyciek pamięci w HTTP/2 dotyczy wszystkich trzech wspieranych linii. Luka w HTTPS wymaga obsługi żądań, która wywołuje res.flushHeaders() przed odebraniem całego żądania, a potem res.end() z danymi. Zwykłe serwery zbudowane na node:http nie są podatne.

Co zrobić

Projekt wskazuje jedną poprawkę: aktualizację do 22.23.5, 24.22.3 albo 26.13.1, zależnie od używanej linii. Wersje 20.x i 25.x nie dostały poprawki, a projekt uznaje wersje bez wsparcia za zawsze podatne.

TAB. 2

Źródła

1
The Hacker News — Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections' Datathehackernews.com
TAB. 3

Powiązane

3
13.11.2026PodatnościAtaki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNP
13.11.2026PodatnościPostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerze
13.11.2026PodatnościRed Hat Quay: luka CVE-2026-123710 pozwala czytać i podmieniać prywatne obrazy kontenerów

Wszystkie wpisy →

Blog 24/7
14.11Osaka: atak na serwis Arara ujawnił ponad milion adresów e-mail mieszkańcówtherecord.media14.11ArcticRAT przejmuje telefony z Androidem i przez AI szuka danych finansowych w SMS-achdarkreading.com14.11Zespół Białego Domu ds. AI chce ulg dla firm po cyberatakach z użyciem AIcybersecuritydive.com14.11Platformy AI automatyzują ataki, Talos widzi w sieci ponad 700 instancji PentAGIblog.talosintelligence.com14.11FBI ostrzega przed Artex, platformą AI, która automatyzuje włamaniatherecord.media13.11Ataki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNPthehackernews.com13.11Gootloader otworzył drogę do 44 ataków ransomware, straty 28,8 mln dolarówtherecord.media13.11PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerzethehackernews.com13.11Autopay potwierdza cyberatak i nieautoryzowany dostęp do części danych płatnościsekurak.pl13.11University of Texas at Arlington potwierdza kradzież danych po ataku gangu Qilintherecord.media