Yushengchen

**Nome do Software Vulnerável e Versões Afetadas** Node.js versão 22 Node.js versão 24 Node.js versão 26 **Descrição** Uma falha no Node.js HTTP Agent permite que um cliente aceite uma resposta como válida mesmo que ela tenha sido enviada antes que o cliente transmitisse a requisição. Este problema causou impactos reais onde o `node-fetch@2` apresentou um "FetchError: ... Premature close" durante o reuso de keep-alive. **Recomendações** Atualize o Node.js versão 22 para a versão de segurança de 18-06-2026. Atualize o Node.js versão 24 para a versão de segurança de 18-06-2026. Atualize o Node.js versão 26 para a versão de segurança de 18-06-2026.

**Name of the Vulnerable Software and Affected Versions** Node.js versions 20.x, 22.x, 24.x and v25.x **Description** A flaw in Node.js HTTP request handling results in an uncaught `TypeError` when a request includes a header named ` proto ` and the application accesses `req.headersDistinct`. Specifically, `dest[" proto "]` incorrectly resolves to `Object.prototype` instead of `undefined`, leading to a `.push()` operation on a non-array. This exception is thrown synchronously within a property getter and cannot be intercepted by standard `error` event listeners, requiring `try/catch` blocks around every access to `req.headersDistinct` for handling. The affected API endpoint involves HTTP request headers, with the vulnerable parameter being ` proto `. The vulnerable function is `req.headersDistinct`. **Recommendations** Node.js versions 20.x: At the moment, there is no information about a newer version that contains a fix for this vulnerability. Node.js versions 22.x: At the moment, there is no information about a newer version that contains a fix for this vulnerability. Node.js versions 24.x: At the moment, there is no information about a newer version that contains a fix for this vulnerability. Node.js version v25.x: At the moment, there is no information about a newer version that contains a fix for this vulnerability.