CVE-2026-21710
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Un servidor Node.js se bloquea con un error no manejado al recibir una solicitud con un encabezado llamado `__proto__` si la aplicación lee `req.headersDistinct`. Esta falla de negación de servicio no puede ser capturada por manejadores de error normales, obligando a los desarrolladores a agregar protección adicional al acceder a headers.
La vulnerabilidad explota contaminación de prototipo mediante inyección de encabezados HTTP; cuando el encabezado `__proto__` está presente y se accede a `req.headersDistinct`, el getter de propiedad resuelve `dest["__proto__"]` a `Object.prototype` en lugar de undefined, causando un TypeError síncrono cuando `.push()` se llama en el objeto prototipo. Esta excepción no puede ser interceptada por listeners de eventos de error, permitiendo DoS no autenticado contra servidores HTTP Node.js en versiones 20.x, 22.x, 24.x y 25.x.