Node.js поправи 16 ранливости, вклучувајќи HTTP/2-пропусти што можат да предизвикаат пад на серверите и истекување податоци од други конекции

Објавено: 12.11.2026

Безбедносен пропуст поправен во Node.js оваа недела им овозможува на неавтентицирани клиенти да предизвикаат пад на сервери кои ја користат вградената HTTP/2-поддршка на runtime-околината во верзиите 24.x и 26.x. Втор пропуст во HTTP/2 може да предизвика серверот да му испрати на клиентот делови од својата меморија, вклучувајќи и одговори наменети за други конекции.

Објавени се поправени верзии за сите три поддржани гранки: 22.23.5, 24.22.3 и 26.13.1.

Ранливоста што предизвикува пад на серверот, CVE-2026-123863, бара само стандарден HTTP/2-сервер кој испраќа одговор пред целосно да пристигне телото на барањето (request body). Проектот Node.js наведува дека ваквото однесување е вообичаено. Нападот може да се изведе и преку TLS и преку незаштитени конекции.

Вториот пропуст, CVE-2026-123866, ги засега сите три верзии. Почнувајќи од верзиите 24.22.0 и 26.9.0, клиентот може самостојно да ја активира ранливоста. Кај верзијата 22.x и постарите изданија на 24.x и 26.x, ранливоста сè уште може да се активира кога самиот сервер ќе затвори некој stream во текот на испраќањето одговор, на пример по истекување на времето за неактивност (idle timeout).

Посебна ранливост кај Node.js HTTPS-серверите, CVE-2026-123864, може да му овозможи на неавтентициран клиент да чита податоци од меморијата на други конекции, „вклучувајќи TLS-приватни клучеви и барања на други корисници“, предупредува проектот. Оваа ранливост ги засега сите три поддржани верзии.

За нејзино искористување е потребен handler кој ја повикува функцијата res.flushHeaders() пред целосно да пристигне телото на барањето, а подоцна ја повикува функцијата res.end() со податоци. За да може да се прочитаат протечените податоци од меморијата, потребна е и рута која го враќа или складира телото на барањето. Обичните HTTP-сервери изградени со node:http не се засегнати.

Најновото издание поправа вкупно 16 ранливости во самиот Node.js, од кои седум се оценети како високоризични. Останатите четири високоризични ранливости и серверите што ги засегаат се:

CVE-2026-123865: Клиент може да предизвика кој било стандарден HTTP/2-сервер трајно да задржува меморија и дескриптори на датотеки (file descriptors). Ранливоста ги засега сите три верзии.
CVE-2026-123874: Клиент може да ја оштети меморијата на серверот во верзиите 24.x и 26.x кога серверот испраќа датотеки преку функциите stream.respondWithFile() или stream.respondWithFD(). Кај сите три верзии, откажувањето на ваквите преземања може да предизвика и пад на серверот (CVE-2026-123875, оценета како средноризична).
CVE-2026-126051: Клиент може да предизвика пад на TLS-сервер во верзиите 24.x и 26.x доколку серверот ги користи механизмите SNICallback, OCSPRequest, newSession или resumeSession, или функцијата server.addContext().
CVE-2026-123872: Кај TLS-сервер со построги правила за клиентски сертификати за одредени имиња на хостови, клиент на кој му е одобрен пристап за едно име на хост може да се префрли на друго, со построги правила, за време на TLS 1.2 renegotiation, без да ги исполни тие правила. Ранливоста ги засега сите три верзии.

Сите осум погоре наведени ранливости се наоѓаат во сопствениот код на Node.js за HTTP/2, HTTPS и TLS-серверите. Поради тоа, тие се особено значајни за системите каде што Node.js-процесот директно ги прифаќа овие конекции.

Ажурирањето до соодветната поправена верзија за секоја гранка е единственото решение наведено во безбедносното известување на проектот. Во известувањето не е наведен алтернативен начин за заштита на серверите кои засега не можат да се ажурираат.

Верзиите на кои им е завршена поддршката (End-of-Life), вклучувајќи ги 20.x и 25.x, не добиваат поправки во ова издание, а проектот предупредува дека овие верзии се секогаш засегнати.

Во безбедносното известување не се пријавени напади со искористување на овие ранливости. Исто така, не е наведено дали серверите што ги исполнувале условите за искористување на HTTPS-ранливоста треба да ги заменат своите TLS-клучеви или други тајни податоци по инсталирањето на ажурирањата.

Според безбедносното известување, пет од ранливостите, вклучувајќи ги CVE-2026-123863 и CVE-2026-123864, биле пријавени од Chris Rohlf во соработка со Claude и Anthropic Research.

Извори:

The Hacker News – Node.js Fixes 16 Flaws, Including HTTP/2 Bugs That Crash Servers and Leak Other Connections’ Data The Hacker News