CVE-2026-48615
Publiée le 2026-06-26 · Dernière modification le 2026-10-25
Les applications Node.js utilisant des tunnels proxy peuvent involontairement divulguer des identifiants de proxy sensibles dans les messages d'erreur `ERR_PROXY_TUNNEL`. Un attaquant distant non authentifié pourrait potentiellement capturer ces identifiants s'il a accès aux journaux, aux diagnostics ou aux sorties d'erreur de l'application. Cette exposition se produit automatiquement lors de conditions d'erreur spécifiques et ne nécessite aucune interaction de l'utilisateur pour être déclenchée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw in Node.js proxy tunnel error handling could expose proxy credentials in `ERR_PROXY_TUNNEL` error messages. When proxy credentials are embedded in the proxy URL, they may be exposed through error handling paths and captured by logs, diagnostics, or other error consumers. This vulnerability affects all supported release lines: **Node.js 22**, **Node.js 24**, and **Node.js 26**.