Um defeito no cliente HTTP Node.js pode causar uma desincronização de solicitação para os proxys de encaminhamento baseados no Node.js que reconstruem cabeçalhos de saída a partir dos cabeçalhos visíveis do `IncomingMessage' enquanto colocam o corpo original em uma conexão backend reutilizada. Node.js pode omitir cabeçalhos além de `maxHeadersConta` / `maxHeaderPairs` a partir de `req.headers`, `req.rawHeaders` e `req.headersDistinct`, enquanto ainda usa esses cabeçalhos omitidos internamente para o enquadramento de mensagens HTTP. Em particular, o `Content-Longth ' pode ser escondido do usuário enquanto o corpo do pedido ainda é entregue. Esta vulnerabilidade afeta todas as linhas de lançamento suportadas: **Node.js 22 **, **Node.js 24 **, e **Node.js 26 **.
Registro de aconselhamento: GHSA- 6 HFF- 9 f 4 h- 85 xm. Identificadores relacionados: CVE- 2026 - 58044. Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 04 T 03: 31: 10.000 Z e lista a sua última modificação como 2026 - 08 - 04 T 03: 31: 10.000 Z. Severidade: LOW. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.0 /AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 444. O registro contém 2 suporte de referências nestes tipos: AVISO, WEB.