VULNERABILIDAD
CVE-2026-105482 Inyección de byte NUL en la resolución DNS de Node.js
Las funciones dns.resolve*() y dns.reverse() truncan silenciosamente hostnames que contienen un byte NUL, ya que el nombre se pasa a c-ares como cadena C. Resolver attacker.example\0.trusted.example consulta attacker.example y devuelve sus registros sin error, por lo que una aplicación que valida un hostname contra una lista permitida y luego lo resuelve puede operar sobre registros de otro nombre. Es una corrección incompleta de CVE-2026-48930. Afecta a Node.js 26.x, 24.x y 22.x.
Alerta de Nureq Monitor
Detectada 23 OCT · 14:27
CVSS 3.0
7.4ALTAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,4 % PERCENTIL 29
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-105482
Las funciones dns.resolve*() y dns.reverse() truncan silenciosamente hostnames que contienen un byte NUL, ya que el nombre se pasa a c-ares como cadena C. Resolver attacker.example\0.trusted.example consulta attacker.example y devuelve sus registros sin error, por lo que una aplicación que valida un hostname contra una lista permitida y luego lo resuelve puede operar sobre registros de otro nombre. Es una corrección incompleta de CVE-2026-48930. Afecta a Node.js 26.x, 24.x y 22.x.
Productos y versiones afectadas
nodejs node
Qué hacer
- Verificá si usás node y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.0 · 7.4 ALTA
CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Alta
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
A flaw in Node.js DNS resolution allows hostnames containing a NUL byte to be silently truncated by the dns.resolve*() functions and dns.reverse(). This is an incomplete fix of CVE-2026-48930, which only covered dns.lookup() and the net/tls host options.
Because the name is passed to c-ares as a C string, resolving attacker.example\0.trusted.example queries attacker.example and returns its records without any error. Applications that validate a hostname, for example against a domain allowlist, and then resolve it with dns.resolve*() can act on records for a different name than the one they validated.
This vulnerability affects Node.js 26.x, 24.x, and 22.x.
Referencias
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.