Node.js: Offenlegung von Proxy-Zugangsdaten in ERR_PROXY_INVALID_CONFIG-Fehlermeldungen
Zusammenfassung
Node.js legt Proxy-Zugangsdaten (Benutzername und Passwort) in ERR_PROXY_INVALID_CONFIG-Fehlermeldungen offen. Die Stelle betrifft vier Codepfade, die eine frühere Korrektur für CVE-2026-48615 nicht abgedeckt hat. Ein Angreifer mit lokalem Lesezugriff auf Logs, stderr, Container-Ausgaben, Log-Aggregation oder Crash-Reporting-Daten kann diese Zugangsdaten erlangen. Voraussetzung ist, dass die Proxy-URL eingebettete Zugangsdaten enthält und der Fehler protokolliert oder gemeldet wird.
Betroffen
- Node.js 22.x vor 22.23.5
- Node.js 24.x vor 24.22.3
- Node.js 26.x vor 26.13.1
- Node.js 23.x und 25.x (End-of-Life-Linien, bei jedem Sicherheitsrelease immer betroffen)
Behoben in
- Upgrade auf Node.js 22.23.5, 24.22.3 oder 26.13.1 (oder neuer)
- Wechsel auf eine unterstützte Node.js-Linie, falls 23.x oder 25.x im Einsatz ist
Umgehung
Unbekannt.
- Bis zur Korrektur möglichst keine Zugangsdaten in Proxy-URLs einbetten.
- Zugriff auf Anwendungslogs, stderr und Crash-Reporting-Daten einschränken.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Soweit geprüft, nicht im CISA-KEV-Katalog gelistet.
Unsere Empfehlung
- Node.js auf 22.23.5, 24.22.3 oder 26.13.1 im Patch-Zyklus vom November 2026 aktualisieren und 23.x- und 25.x-Laufzeitumgebungen ausser Betrieb nehmen.
- Anwendungen identifizieren, die Proxy-URLs mit eingebetteten Zugangsdaten verwenden, und die Zugangsdaten in Umgebungsvariablen oder einen Secret-Store verschieben.
- Falls Logs oder Crash-Reports eine Proxy-URL enthalten können, die betroffenen Proxy-Zugangsdaten rotieren.
- Den Kreis der Personen einschränken, die Logs und Crash-Reporting-Daten lesen können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OpenJS CNA security advisories cna.openjsf.org
- Node.js November 2026 security releases nodejs.org
- Node.js 26.13.1 release nodejs.org
- VulDB CVE-2026-123871 vuldb.com
- CVE-2026-123871 CVE record summary cve.threatint.com
- OffSeq CVE-2026-123871 radar radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.