CVE-2026-123877— Node.js 跨策略 TLS 会话复用证书验证绕过漏洞
一分钟漏洞结论
影响对象
nodejs node
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Node.js 中的 https.Agent 存在证书验证绕过漏洞：在较宽松的 CA 策略下认证并通过缓存的 TLS 会话，可能被后续采用更严格策略的请求错误复用。 具体而言，https.Agent.prototype.getName() 会为“未指定 ca 选项”的请求与“显式指定 ca: []"的请求分配相同的 Agent 及会话缓存键。这是因为：省略 ca 选项时，该值不会向键中添加任何内容；而空数组 ca: [] 在字符串化后结果为空字符串，两者最终生成相同的缓存键。 然而，这两种配置对应的策略截然不同：省
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-123877 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Node.js is vulnerable to a certificate validation bypass in https.Agent via cross-policy TLS session reuse
来源: CVE Program / CVE List V5
Vulnerability Description
A certificate validation bypass in Node.js https.Agent lets a cached TLS session authenticated under one CA policy be reused by a later request with a stricter policy. https.Agent.prototype.getName() assigns the same Agent and session-cache key to a request that omits ca and one that explicitly supplies ca: [], because an omitted value appends nothing to the key while an empty array stringifies to an empty string. The two policies differ: omitting ca uses the default trust store, while supplying ca replaces it. Since they share a key, a TLS session authenticated under the broader default policy is handed to a new connection made under the later ca: [] policy, and TLS 1.3 session resumption carries the earlier authentication forward, so the second request reports authorized === true and transmits confidential data to a server its own CA policy would reject on a fresh connection. This vulnerability affects Node.js 26.x, 24.x, and 22.x.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
证书验证不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-123877 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-123877 的情报信息
请登录查看更多情报信息。
CVE-2026-123877 安全博客文章 (1)
-
Node.js — Wednesday, November 11, 2026 Security Releases vendor-advisory
同批安全公告 · nodejs · 2026-11-11 · 共 15 条
| CVE-2026-123862 | Node.js zlib 流销毁拒绝服务漏洞 | |
| CVE-2026-123829 | Node.js 递归 fs.watch 权限模型文件名泄露漏洞 | |
| CVE-2026-123828 | Node.js HTTP/2 会话 altsvc 堆缓冲区溢出漏洞 | |
| CVE-2026-123864 | Node.js TLS 写重入导致跨连接内存泄露 | |
| CVE-2026-123863 | Node.js 远程 HTTP/2 拒绝服务漏洞 | |
| CVE-2026-123866 | Node.js HTTP/2 响应内存泄露漏洞 | |
| CVE-2026-123871 | Node.js 代理凭据泄露漏洞 | |
| CVE-2026-123867 | Node.js mTLS 授权绕过漏洞 | |
| CVE-2026-123865 | Node.js HTTP/2 会话关闭内存及文件描述符泄漏漏洞 | |
| CVE-2026-123868 | Node.js HTTP/2 内存耗尽拒绝服务漏洞 | |
| CVE-2026-126051 | Node.js TLS 服务器远程触发未捕获异常漏洞 | |
| CVE-2026-123872 | Node.js TLS 1.2 客户端证书认证绕过漏洞 | |
| CVE-2026-123875 | Node.js 远程拒绝服务漏洞 | |
| CVE-2026-123874 | Node.js 18.19.0 HTTP/2 释放后使用漏洞 |