CVE-2026-21710: falha de alta gravidade em nodejs node
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Um servidor Node.js trava com um erro não tratado ao receber uma requisição com um cabeçalho chamado `__proto__` se a aplicação lê `req.headersDistinct`. Esta falha de negação de serviço não pode ser capturada por manipuladores de erro normais, forçando desenvolvedores a adicionar proteção extra ao acessar headers.
A vulnerabilidade explora poluição de protótipo via injeção de cabeçalho HTTP; quando o cabeçalho `__proto__` está presente e `req.headersDistinct` é acessado, o getter de propriedade resolve `dest["__proto__"]` para `Object.prototype` em vez de undefined, causando um TypeError síncrono quando `.push()` é chamado no objeto prototype. Esta exceção não pode ser interceptada por listeners de eventos de erro, permitindo DoS não autenticado contra servidores HTTP Node.js nas versões 20.x, 22.x, 24.x e 25.x.
No mesmo produto, das mais perigosas para as menos.