В Node.js обнаружено неполное исправление: повторное использование сеанса TLS агента HTTPS пропускает проверку имени хоста в политиках идентификации (неполное исправление CVE-2026-48934).
Эта уязвимость затрагивает Node.js **22.x**, **24.x** и **26.x**.
Показать оригинальное описание (EN)
An incomplete fix has been identified in Node.js: HTTPS Agent TLS session reuse skips hostname verification across identity policies (incomplete fix of CVE-2026-48934). This vulnerability affects Node.js **22.x**, **24.x**, and **26.x**.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Высокая
Сложно эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.0