Node.js NUL 截断漏洞利用工具公开

GitHub 上公开了针对 CVE-2026-105482 的利用工具。该漏洞源于 Node.js 的 dns.resolve* 将含 NUL 字节的字符串交给 c-ares 按 C 字符串处理，应用层用 endsWith 等做的主机白名单校验因此可被绕过，进而形成 SSRF。公开者称该工具已武器化并通过端到端测试。 公开者给出的修复方式是在每次调用 dnsResolve* 前用 name.indexOf('\0') !== -1 拦截，或升级至 22.23.4/24.22.1/26.12.1 版本。触发需将 NUL 以 JavaScript 字符串形式传入 dnsResolve*。

AI 根据报道生成 · 1 天前更新

还没有足够的连续观测数据，暂不绘制趋势。