CVE-2026-21710 — Node.js req.headersDistinct 拒绝服务（DoS）

摘要

描述

Node.js HTTP 请求处理中存在一个缺陷：当收到的请求包含名为 __proto__ 的请求头，且应用程序访问 req.headersDistinct 时，会抛出未捕获的 TypeError。

dest["__proto__"] 解析为 Object.prototype 而非 undefined，导致在非数组对象上调用 .push()。该异常在属性 getter 内部同步抛出，无法被 error 事件监听器拦截——除非对每次 req.headersDistinct 访问都包裹 try/catch，否则无法处理。

根本原因

headersDistinct getter 将请求头值累积到一个普通对象中：

const dest = {};
// ...
dest[name] = dest[name] || [];
dest[name].push(value);

当 name === "__proto__" 时：

• dest["__proto__"] 返回 Object.prototype（真值，而非 undefined）
• || [] 初始化被跳过
• 在 Object.prototype 上调用 .push(value) → TypeError: dest[name].push is not a function
• 同步抛出的异常绕过事件循环错误边界，导致进程崩溃

文件

使用方法

仅限授权的安全研究 / 负责任披露使用。

启动存在漏洞的服务器

node server.js
# Listening on http://127.0.0.1:3000

运行 POC

node poc.js

预期输出：

1. 步骤 1 — 正常请求成功（HTTP 200）。
2. 步骤 2 — 发送 __proto__ 请求头；服务器因未捕获的 TypeError 崩溃。
3. 步骤 3 — 后续请求收到连接错误，确认崩溃发生。

参考

• NVD — CVE-2026-21710
• Node.js 2026年3月安全发布