Les fonctions dns.resolve*() et dns.reverse() peuvent tronquer silencieusement un nom d’hôte contenant un octet NUL et résoudre un nom différent de celui validé par l’application. Le défaut concerne Node.js 22.x, 24.x et 26.x ; aucune version corrigée ni mesure de contournement n’est indiquée dans les éléments fournis.
Source : NVD — CVE-2026-105482
Analyse technique
Le nom transmis à c-ares est traité comme une chaîne C ; un suffixe après NUL est ignoré. Une validation de nom suivie d’une résolution peut ainsi porter sur deux noms différents.
Impact, versions et correctif
Action recommandée
Mettre à jour Node.js dès qu’une version corrigée est disponible ; ne pas supposer que les API dns.resolve*() et dns.reverse() résolvent exactement le nom validé si des noms non fiables sont acceptés.
Sources
Priorisation DFS : P3 · 1 source(s).