V
Сканер-ВС
ГлавнаяКаталогИсточникиCWECAPECATT&CKМеры защитыПродуктыВендорыДокументация
CVE-2026-21710
ANC
ВысокийПодтвержденаЭксплойт есть

Недостаток в обработке запросов Node.js приводит к не пойманному `TypeError`, когда запрос поступает с заголовком по имени `__proto__` и до…

CVSS
7.5
Высокий
EPSS
0.13
p95
Опубликовано
2026-01-01
Обновлено
2026-01-01
Описание

Недостаток в обработке запросов Node.js приводит к не пойманному `TypeError`, когда запрос поступает с заголовком по имени `__proto__` и доступом к `req.headersDistinc`. Когда это происходит, `dest["__proto__]` решается на `Object.prototype`, а не «неопределенный», в результате чего `.push()` вызывается на немассе. Это исключение синхронно брошено внутрь получателя свойств и не может быть перехвачено слушателями мероприятия «ошибка», что означает, что с этим нельзя справиться без обертывания каждого `req.headersDistinc` доступа в «попытку/ловук». * Эта уязвимость затрагивает все HTTP-серверы Node.js на **20.x, 22.x, 24.x и v25.x**

Теги · CWE
Без аутентификации
CWE-770
CAPEC-125
CAPEC-130
CAPEC-147
CAPEC-197
CAPEC-229
CAPEC-230
CAPEC-231
CAPEC-469
CAPEC-482
CAPEC-486
CAPEC-487
CAPEC-488
CAPEC-489
CAPEC-490
CAPEC-491
CAPEC-493
CAPEC-494
CAPEC-495
CAPEC-496
CAPEC-528
Затронутые продукты
NodejsNodejs
Вектор CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Хронология
2026-01-01
Опубликована
2026-01-01
Обновлена
Разбор CVSS 3.1
Вектор атаки
AV: N
Сеть (N)
Сложность атаки
AC: L
Низкая (L)
Требуемые привилегии
PR: N
Отсутствуют (N)
Взаимодействие с пользователем
UI: N
Отсутствует (N)
Область воздействия
S: U
Неизменная (U)
Воздействие на конфиденциальность
C: N
Отсутствует (N)
Воздействие на целостность
I: N
Отсутствует (N)
Воздействие на доступность
A: H
Высокое (H)
Индикаторы эксплуатации
EPSS
0.131 · p95
Известна эксплуатация (KEV)
Нет
MITRE ATT&CK
Выводимые через CAPEC
Проверки Сканер-ВС
CVE-2026-21710
github-poc · https://github.com/dajneem23/CVE-2026-21710
Enterprise
Затронутые продукты
ПродуктВендорСтатус
Отслеживается
nodejsОтслеживается
nodejsОтслеживается
Источники данных
ANC
DEB
Связанные уязвимости