CVE-2026-106074
Beschrijving NL
Een fout in Node.js `crypto` zorgt ervoor dat de interne entropiecaches die worden gebruikt door `crypto.randomUUID ()`, `crypto.randomUIDv7 ()` en `crypto.randomInt ()` worden opgeslagen in opstartmomenten voor gebruikers ('--build-snapshot`) en enkele uitvoerbare toepassingen die zijn gebouwd met `useSnapshot`. Als een van deze functies, of een API die erop vertrouwt, zoals `URL.createObjectURL ()`, wordt aangeroepen terwijl de snapshot wordt gebouwd, retourneert elk proces dat vanaf die snapshot wordt gestart dezelfde waarden totdat de cache opnieuw wordt gevuld: tot 127 UUID's en ongeveer 1.000 `randomInt ()` -waarden. Identificatoren die naar verwachting uniek zijn, kunnen botsen tussen processen en waarden die door het ene proces worden afgegeven, kunnen worden voorspeld door een ander proces te observeren. Deze kwetsbaarheid treft Node.js **26.x**, **24.x** en **22.x**.
Origineel (Engels) tonen
A flaw in Node.js `crypto` causes the internal entropy caches used by `crypto.randomUUID()`, `crypto.randomUUIDv7()`, and `crypto.randomInt()` to be saved into user-land startup snapshots (`--build-snapshot`) and single executable applications built with `useSnapshot`.
If any of these functions, or an API that relies on them such as `URL.createObjectURL()`, is called while the snapshot is built, every process started from that snapshot returns the same values until the cache is refilled: up to 127 UUIDs and about 1,000 `randomInt()` values. Identifiers expected to be unique can collide across processes, and values issued by one process can be predicted by observing another.
This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.