CVE-2026-106069
Beschrijving NL
Een fout in de TLS-hostnaamverificatie van Node.js kan ertoe leiden dat een servercertificaat wordt gevalideerd aan de hand van een ander IP-adres dan het adres waarmee de client verbinding heeft gemaakt, wanneer de host een niet-canoniek IPv4-adres is met een voorloopnul, zoals `0127.0.0.1`. `tls.checkServerIdentity()` normaliseert de host volgens de WHATWG URL-regels, die een voorloopnul als octaal lezen (`0127.0.0.1` wordt `87.0.0.1`), terwijl de verbinding tot stand komt via de resolver van het besturingssysteem, die deze op sommige platforms zoals macOS als decimaal leest (`127.0.0.1`). Een server op het verbonden adres kan vervolgens worden geverifieerd met een certificaat dat is uitgegeven voor een ander IP-adres. Deze kwetsbaarheid treft Node.js **26.x**, **24.x** en **22.x**.
Origineel (Engels) tonen
A flaw in Node.js TLS hostname verification can cause a server certificate to be validated against a different IP address than the one the client connected to, when the host is a non-canonical IPv4 literal with a leading zero, such as `0127.0.0.1`.
`tls.checkServerIdentity()` normalizes the host following the WHATWG URL rules, which read a leading-zero octet as octal (`0127.0.0.1` becomes `87.0.0.1`), while the connection is made through the operating system resolver, which on some platforms such as macOS reads it as decimal (`127.0.0.1`). A server at the connected address can then be authenticated with a certificate issued for another IP address.
This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.