CVE-2026-48930: Node.js: falha no tratamento de hostname TLS permite rebinding silencioso de autoridade
O NVD e o CNA descrevem uma falha no tratamento de hostnames TLS do Node.js, em que hostnames com byte nulo embutido podem ser truncados em bindings de resolver e levar a rebinding silencioso de autoridade. O NVD classifica como crítica, com CVSS 3.1 de 9.8, e o registro lista as linhas de release Node.js 22, 24 e 26 como afetadas. Nas fontes consultadas não há exploração confirmada.
Visão geral
O registro descreve uma falha no tratamento de hostnames TLS do Node.js. Hostnames com byte nulo embutido podem ser truncados no nível de C-string em bindings de resolver, o que a descrição associa a rebinding silencioso de autoridade. A fraqueza é mapeada para o CWE-284 (Controle de Acesso Inadequado).
Impacto
- O NVD atribui nota 9.8 (crítica) pelo CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
- O CNA support@hackerone.com informa nota 5.6 pelo CVSS 3.0. O registro não explica a diferença.
- O efeito prático em cada ambiente depende de quanto a aplicação confia na verificação de hostname TLS. O registro não detalha isso.
Produtos e versões afetadas
- O registro lista Nodejs Node.js com as strings de versão 22.22.3, 24.16.0 e 26.3.0 como afetadas.
- A descrição afirma que todas as linhas de release suportadas, Node.js 22, 24 e 26, são afetadas.
- O registro não informa explicitamente quais versões contêm a correção. Consulte a página de releases de segurança do fornecedor.
Status de exploração
Nas fontes consultadas não há exploração confirmada. O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e não há dados de EPSS nem de SSVC.
Correção e mitigação
- Revise as notas de release de segurança de junho de 2026 do fornecedor e atualize o Node.js para a versão corrigida de cada linha em uso.
- Faça o inventário de todos os locais onde o Node.js é executado, incluindo imagens de contêiner e runtimes embarcados, já que a descrição cobre todas as linhas suportadas.
- Até concluir a atualização, revise quais partes da aplicação tomam decisões de confiança com base em hostnames recebidos de fontes não confiáveis.
Orientações de detecção
- Monitore as versões do Node.js em todos os hosts e sinalize instâncias que correspondam às versões afetadas listadas.
- Revise logs de conexões TLS e erros da aplicação em busca de incompatibilidades inesperadas de hostname ou certificado. O registro não fornece indicadores específicos.
Limitações das informações disponíveis
- O registro não traz lista explícita de versões corrigidas, detalhes técnicos do caminho de código nem informações sobre exploração.
- Não há dados de EPSS, SSVC ou CVSS 4.0.
- A diferença entre as notas CVSS do NVD e do CNA não é explicada.
Perguntas frequentes
Qual é o problema central do CVE-2026-48930?
O tratamento de hostnames TLS do Node.js pode truncar hostnames que contêm byte nulo embutido em bindings de resolver, o que o registro associa a rebinding silencioso de autoridade. O registro classifica a fraqueza como CWE-284, Controle de Acesso Inadequado.
O CVE-2026-48930 está sendo explorado ativamente?
Nas fontes consultadas não há exploração confirmada. O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e não há dados de EPSS ou SSVC.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.