CVE-2026-106074

mediumPriorität · verfolgen · 10OT-Risiko · erhöhtEPSS 0.003 · 25. PerzentilExploit · PoCDE

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

1 exploit · PoC

Likely / severe?

0.32% (25th) EPSS

CVSS 4.8 · medium

Is it mine?

30 products

Prüfe deine Angriffsfläche

Who says so?

1 sources

cert_bund

EPSS · bewertet 2026-10-27

A flaw in Node.js `crypto` causes the internal entropy caches used by `crypto.randomUUID()`, `crypto.randomUUIDv7()`, and `crypto.randomInt()` to be saved into user-land startup snapshots (`--build-snapshot`) and single executable applications built with `useSnapshot`. If any of these functions, or an API that relies on them such as `URL.createObjectURL()`, is called while the snapshot is built, every process started from that snapshot returns the same values until the cache is refilled: up to 127 UUIDs and about 1,000 `randomInt()` values. Identifiers expected to be unique can collide across processes, and values issued by one process can be predicted by observing another. This vulnerability affects Node.js **26.x**, **24.x**, and **22.x**.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

4.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.04.8mediumCVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:Nsecondary · support@hackerone.comAusnutzbarkeit 2.2 · Auswirkung 2.5

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-330US

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

CompleTetech-Security/node-cve-2026-106074-checkOffline Node.js evidence checker for CVE-2026-106074: Crypto entropy cache duplication in snapshots. Single-file Python; JSON/CSV/HTML reports; no exploit payloads.PoC · poc_in_github

betroffene Produkte (30)

Betroffene Produkte und Versionsbereiche.

Debian Linuxalle Versionencert_bundDEcpe:/o:debian:debian_linux:-
Fedora Linuxalle Versionencert_bundDEcpe:/o:fedoraproject:fedora:-
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:11.0.33.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:8u511-b32
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:27.0.1.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:25.0.5.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:21.0.13.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:17.0.21.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:oracle_graalvm_for_jdk_21.0.13.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:oracle_graalvm_for_jdk_17.0.21.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:oracle_graalvm_enterprise_edition_21.3.20.0.2
Java SEalle Versionencert_bundDEcpe:/a:oracle:java_se:8u511-perf-b32
Microsoft .NETalle Versionencert_bundDEcpe:/a:microsoft:.net:-
Open Source OpenJDKalle Versionencert_bundDEcpe:/a:oracle:openjdk:-
Oracle Linuxalle Versionencert_bundDEcpe:/o:oracle:linux:-
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
Ubuntu Linuxalle Versionencert_bundDEcpe:/o:canonical:ubuntu_linux:-
Open Source Node.js< 22.23.4cert_bundDE
Open Source Node.js< 24.22.1cert_bundDE
Open Source Node.js< 26.12.1cert_bundDE

20 von 30 angezeigt

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-4117Node.js: Mehrere SchwachstellenDeutsch2026-10-21csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Node.js ausnutzen, um einen Denial of Service Angriff durchzuführen, um Sicherheitsvorkehrungen zu umgehen und um beliebigen Programmcode auszuführen.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cert_bund NVD CVE.org MITRE

veröffentlicht 2026-10-23geändert 2026-10-23

Referenzen (1) nvd

Externe Belege — Patches, Meldungen, Analysen.

https://nodejs.org/en/blog/vulnerability/october-2026-security-releases

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan