Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Node.js opravuje 11 zraniteľností
Node.js verziami 22.23.2, 24.18.1 a 26.5.1 opravuje 11 zraniteľností. Najzávažnejšie sú popísané nižšie, zvyšné nájdete na [1].
Neautentizovanému vzdialenému útočníkovi je kvôli chybnému započítavaniu uchovávaných blokov HTTP/2 hlavičiek umožnené obísť limit maxSessionMemory a vyčerpať pamäť [1][2].
Zraniteľnosť sa nachádza v produkte:
- Node.js; >=24.0, <=24.18.1; >=22.0, <22.23.2
CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2026-56846 na cve.org, NVD
- CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 7. 2026.
Autentizovanému lokálnemu útočníkovi, ktorému bol v modeli oprávnení povolený prístup k jednej ceste, je kvôli chybnému vyhodnocovaniu hraníc prefixov umožnené čítať alebo zapisovať súbory mimo povoleného zoznamu ciest [1][3].
Zraniteľnosť sa nachádza v produkte:
- Node.js; >=26.0, <=26.5.1; >=24.0, <=24.18.1; >=22.0, <22.23.2
CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N
Viac informácií:
- CVE-2026-58043 na cve.org, NVD
- CWE-284: Improper Access Control na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 7. 2026.
Neautentizovanému vzdialenému útočníkovi je kvôli chybnému reentrantnému spracovaniu HTTP/2 v Node.js umožnené vyvolať zraniteľnosť typu heap-use-after-free [1][4].
Zraniteľnosť sa nachádza v produkte:
- Node.js; >=26.0, <=26.5.1; >=24.0, <=24.18.1; >=22.0, <22.23.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2026-56848 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 7. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 4. 8. 2026.