CVE-2026-123872— Node.js TLS 1.2 客户端证书认证绕过漏洞
一分钟漏洞结论
影响对象
nodejs node
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Node.js TLS 中存在一个客户端证书认证绕过漏洞：攻击者可利用 TLS 1.2 重协商机制，在连接过程中更改服务器名称（SNI），从而访问其原本无权访问的端点。在针对不同主机名实施差异化客户端证书策略的服务器上（例如，对某一主机实施更严格的仅限管理员的客户端证书认证，而对另一主机实施普通客户端证书认证），已成功通过认证访问受允许主机的客户端，可在重协商时将 TLS 1.2 连接的服务器名称更改为受保护主机，并沿用其已有的认证凭证，从而绕过更严格的认证策略。该漏洞影响 Node.js 26.x、24.x 和
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-123872 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Node.js is vulnerable to a client certificate authentication bypass via TLS 1.2 renegotiation servername change
来源: CVE Program / CVE List V5
Vulnerability Description
A client certificate authentication bypass in Node.js TLS lets a client change the servername during TLS 1.2 renegotiation to reach endpoints it was not authorized for. On a server that applies different client-certificate policies per hostname, for example stricter admin-only client-cert auth on one host and ordinary client-cert auth on another, a client that authenticates for a permitted host can renegotiate the TLS 1.2 connection under a different servername and carry its existing authentication to the protected host, bypassing the stricter policy. This vulnerability affects Node.js 26.x, 24.x, and 22.x.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
认证机制不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-123872 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-123872 的情报信息
请登录查看更多情报信息。
CVE-2026-123872 安全博客文章 (1)
-
Node.js — Wednesday, November 11, 2026 Security Releases vendor-advisory
同批安全公告 · nodejs · 2026-11-11 · 共 15 条
| CVE-2026-123862 | Node.js zlib 流销毁拒绝服务漏洞 | |
| CVE-2026-123829 | Node.js 递归 fs.watch 权限模型文件名泄露漏洞 | |
| CVE-2026-123828 | Node.js HTTP/2 会话 altsvc 堆缓冲区溢出漏洞 | |
| CVE-2026-123864 | Node.js TLS 写重入导致跨连接内存泄露 | |
| CVE-2026-123863 | Node.js 远程 HTTP/2 拒绝服务漏洞 | |
| CVE-2026-123866 | Node.js HTTP/2 响应内存泄露漏洞 | |
| CVE-2026-123871 | Node.js 代理凭据泄露漏洞 | |
| CVE-2026-123867 | Node.js mTLS 授权绕过漏洞 | |
| CVE-2026-123865 | Node.js HTTP/2 会话关闭内存及文件描述符泄漏漏洞 | |
| CVE-2026-123868 | Node.js HTTP/2 内存耗尽拒绝服务漏洞 | |
| CVE-2026-126051 | Node.js TLS 服务器远程触发未捕获异常漏洞 | |
| CVE-2026-123877 | Node.js 跨策略 TLS 会话复用证书验证绕过漏洞 | |
| CVE-2026-123875 | Node.js 远程拒绝服务漏洞 | |
| CVE-2026-123874 | Node.js 18.19.0 HTTP/2 释放后使用漏洞 |