CVE-2026-21710: fallo de gravedad alta en nodejs node
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Un servidor Node.js se bloquea con un error no manejado al recibir una solicitud con un encabezado llamado `__proto__` si la aplicación lee `req.headersDistinct`. Esta falla de negación de servicio no puede ser capturada por manejadores de error normales, obligando a los desarrolladores a agregar protección adicional al acceder a headers.
La vulnerabilidad explota contaminación de prototipo mediante inyección de encabezados HTTP; cuando el encabezado `__proto__` está presente y se accede a `req.headersDistinct`, el getter de propiedad resuelve `dest["__proto__"]` a `Object.prototype` en lugar de undefined, causando un TypeError síncrono cuando `.push()` se llama en el objeto prototipo. Esta excepción no puede ser interceptada por listeners de eventos de error, permitiendo DoS no autenticado contra servidores HTTP Node.js en versiones 20.x, 22.x, 24.x y 25.x.
En el mismo producto, de las más peligrosas a las menos.