CVE-2026-105483
Beschrijving NL
Een fout in de TLS-hostnaamverificatie van Node.js zorgt ervoor dat een certificaat zonder een overeenkomend IP-adres (SAN) een verbinding met een IPv4-adres kan authenticeren wanneer de hostnaam is geschreven met niet-ASCII-tekens, zoals cijfers met volledige breedte (`127.0.0.1`). `tls.checkServerIdentity()` herkende dergelijke hosts niet als IP-adressen, ook al normaliseren en worden ze omgezet naar een regulier IPv4-adres. In plaats daarvan werden ze vergeleken met de DNS-namen en de Common Name van het certificaat. Een certificaat met de aanduiding `DNS:127.0.0.1` of `DNS:*.0.0.1` kon daardoor worden geaccepteerd voor een IP-adres waarvoor het niet was uitgegeven. Dit is een regressie die is geïntroduceerd na de oplossing voor CVE-2026-48618. Deze kwetsbaarheid treft Node.js **26.x** en **24.x**.
Origineel (Engels) tonen
A flaw in Node.js TLS hostname verification allows a certificate without a matching IP address SAN to authenticate a connection to an IPv4 address when the host is written with non-ASCII characters, such as fullwidth digits (`１２７.0.0.1`).
`tls.checkServerIdentity()` did not recognize such hosts as IP addresses, even though they normalize and resolve to a regular IPv4 address, and matched them against the certificate DNS names and Common Name instead. A certificate containing `DNS:127.0.0.1` or `DNS:*.0.0.1` could therefore be accepted for an IP endpoint it was not issued for. This is a regression introduced after the fix for CVE-2026-48618.
This vulnerability affects Node.js **26.x** and **24.x**.