CVE-2026-44726: Deno: transmissão em texto puro na camada TLS de compatibilidade com Node.js após nova tentativa de conexão (CWE-319)
Versões do Deno a partir de 2.0.0 e anteriores à 2.7.8 podem enviar dados da aplicação sem criptografia quando um cliente TLS recorre a outra família de endereços após uma tentativa inicial falha. A falha está ligada ao comportamento de autoSelectFamily na camada de compatibilidade tls do Node.js e está corrigida na 2.7.8. A NVD atribui nota 9.1 (CVSS 3.1), e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-44726 afeta a camada de compatibilidade tls do Node.js no Deno. Quando autoSelectFamily está habilitado e a primeira tentativa de família de endereços falha, um caminho de reconexão pode deixar a nova conexão TCP sem TLS, de modo que dados da aplicação escritos antes do evento secureConnect podem trafegar sem criptografia. O aviso do fornecedor está disponível em GHSA-chqv-56wv-7564.
Impacto
- Dados da aplicação podem ser enviados em texto puro, mesmo quando a aplicação espera proteção TLS.
- Segundo a descrição do registro, uma posição de rede capaz de causar a falha da tentativa inicial de conexão pode permitir observar ou adulterar esse tráfego.
- O vetor CVSS da NVD é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, que indica acesso pela rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade e integridade.
- A classificação é CWE-319, Transmissão de Informações Sensíveis em Texto Puro.
Produtos e versões afetados
- Produto indicado como Deno Deno, nas versões a partir de 2.0.0 até antes da 2.7.8.
- A condição de afetação exige o uso da camada de compatibilidade tls do Node.js com autoSelectFamily habilitado.
Status de exploração
O registro indica que o CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. A referência do fornecedor está marcada como Exploit no registro, mas o registro não descreve atividade de exploração.
Correção e mitigação
- Atualize o Deno para a versão 2.7.8 ou superior, conforme a descrição do aviso.
- Faça o inventário das instalações do Deno e identifique aplicações que usam a camada de compatibilidade tls do Node.js.
- Quando a atualização não for possível de imediato, equipes podem avaliar se autoSelectFamily é necessário na configuração. Trata-se de uma inferência a partir do gatilho descrito, sem confirmação de que seja uma mitigação recomendada pelo fornecedor.
Orientações de detecção
- Revise o inventário de ativos em busca de versões do Deno abaixo de 2.7.8 em hosts com rede dual-stack.
- Monitore tráfego não criptografado inesperado em portas onde a aplicação espera TLS, conforme a política de segurança de rede.
- Após a correção, confirme que o runtime informa a versão 2.7.8 ou superior.
Limitações das informações disponíveis
O registro não traz dados da CISA ADP nem SSVC, e não possui pontuação EPSS; portanto, a probabilidade de exploração é desconhecida com os dados fornecidos. O campo de correções está vazio, embora a descrição informe que a correção está na 2.7.8. A pontuação de 7.4 do GitHub aparece sem vetor no registro. Detalhes públicos de prova de conceito não são descritos nas fontes.
Perguntas frequentes
Quais versões do Deno são afetadas pela CVE-2026-44726?
O registro indica as versões do Deno a partir de 2.0.0 até antes da 2.7.8 como afetadas.
Existe uma versão corrigida?
A descrição informa que a falha está corrigida na 2.7.8. O campo de correções do registro está vazio, por isso vale consultar o aviso.
Há registro de exploração ativa desta vulnerabilidade?
O registro não mostra inclusão no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.