تیم توسعه Node.js با انتشار نسخه‌های امنیتی جدید، ۱۶ آسیب‌پذیری (Vulnerability) را برطرف کرده است که برخی از آن‌ها با سطح اهمیت بالا (High) طبقه‌بندی شده‌اند. این نقص‌ها عمدتاً در پیاده‌سازی پروتکل‌های HTTP/2، HTTPS و TLS در این محیط اجرا (Runtime) قرار دارند و می‌توانند منجر به از کار افتادن سرور یا نشت داده‌های حساس شوند.
از کار افتادن سرویس (DoS) در پروتکل HTTP/2
آسیب‌پذیری CVE-2026-123863 به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، سرورهایی را که از پشتیبانی داخلی HTTP/2 در نسخه‌های ۲۴.x و ۲۶.x استفاده می‌کنند، دچار اختلال و از کار افتادن (Crash) کنند. این نقص هم در اتصالات امن (TLS) و هم در اتصالات معمولی (Cleartext) قابل بهره‌برداری است.
نشت حافظه و داده‌های حساس
دو آسیب‌پذیری دیگر مربوط به نشت حافظه (Memory Leak) هستند که ابعاد بسیار نگران‌کننده‌ای دارند:
- CVE-2026-123866: این نقص در پروتکل HTTP/2 می‌تواند باعث شود سرور بخش‌هایی از حافظه خود را، از جمله پاسخ‌هایی که مربوط به سایر اتصالات (Connections) است، به کلاینت ارسال کند.
- CVE-2026-123864: این آسیب‌پذیری در سرورهای HTTPS بسیار بحرانی است و می‌تواند به یک کلاینت غیرمجاز اجازه دهد حافظه مربوط به سایر اتصالات، از جمله کلیدهای خصوصی TLS (TLS Private Keys) و درخواست‌های سایر کاربران را بخواند.
نسخه‌های آسیب‌پذیر و اصلاح‌شده
برای رفع این مشکلات، به‌روزرسانی به نسخه‌های اصلاح‌شده زیر الزامی است:
- نسخه 22.23.5 (برای سری 22.x)
- نسخه 24.22.3 (برای سری 24.x)
- نسخه 26.13.1 (برای سری 26.x)
لازم به ذکر است که نسخه‌های قدیمی‌تر که به پایان عمر خود رسیده‌اند (End-of-life) مانند 20.x و 25.x، هیچ اصلاحیه‌ای برای این آسیب‌پذیری‌ها دریافت نخواهند کرد و همواره در معرض خطر باقی می‌مانند.
در حال حاضر گزارشی مبنی بر بهره‌برداری فعال از این آسیب‌پذیری‌ها در محیط‌های عملیاتی منتشر نشده است، اما با توجه به ماهیت نشت کلیدهای خصوصی، به‌روزرسانی سریع توصیه می‌شود.
