CVE-2026-56848

总结

Node.js HTTP/2 处理中的一个缺陷允许在 `nghttp2_session_mem_recv()` 执行期间重入调用 `nghttp2_session_mem_send()`，从而导致堆释放后使用（heap-use-after-free）。此漏洞影响 Node.js **26.x**、**24.x** 和 **22.x** 版本。

• CVE-2026-56848PoC

  CVE-2026-56848 的漏洞利用 PoC，针对 Node.js HTTP/2 中可导致远程未认证 DoS 的堆释放后使用（heap-use-after-free）漏洞。包含原始套接字触发器、ASan 构建说明和基于 Docker 的目标环境。