🇰🇷 한글 설명
Node.js HTTP Agent의 keep-alive 연결 재사용 로직에서 결함이 발견되었습니다. 요청 전에 전송된 응답이 클라이언트에 의해 유효한 응답으로 수락될 수 있습니다. 이는 CVE-2026-48931 수정이 불완전하여 발생한 문제입니다. 이벤트 루프가 바쁜 동안 도착한 예기치 않은 데이터가 새 요청에 대한 응답으로 잘못 파싱될 수 있습니다.
💡 쉬운 설명
Node.js가 서버와 연결을 재사용할 때, 요청을 보내기 전에 도착한 가짜 응답을 정상 응답으로 착각할 수 있습니다. 이로 인해 잘못된 데이터가 애플리케이션에 전달될 위험이 있습니다.
🇺🇸 원문 (English)
A flaw in Node.js HTTP Agent connection reuse can cause a client to accept as valid a response that was sent before the client has sent the request. This is an incomplete fix of CVE-2026-48931.
The guard that destroys idle keep-alive sockets when unexpected data arrives only runs when the event loop polls for I/O. If an unsolicited response has already reached the socket but has not been read yet when the socket is handed to a new request, for example because the event loop was busy with synchronous work, the guard is removed without seeing it and the data is parsed as the response to the new request.
This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.
📍 영향받는 시스템
Node.js 26.x, 24.x, 22.x 버전 (해당 버전의 수정 패치 적용 전)
⚔️ 공격 벡터
공격자가 연결 재사용 타이밍을 노려 요청 전에 악의적인 응답 데이터를 소켓에 주입하여 클라이언트가 이를 정상 응답으로 처리하도록 유도
🛡️ 대응 방법
Node.js를 보안 패치가 적용된 최신 버전(26.x, 24.x, 22.x의 수정 릴리스)으로 업데이트
🔧 검증 코드
출력된 버전이 26.x, 24.x, 22.x의 패치된 최신 릴리스 이상이면 수정된 것이며, 취약한 구버전이면 즉시 업데이트가 필요합니다.