CVE-2022-35256: nodejs node.js +3 lainnya

csirt@kutim:~/threat-intel/cve/CVE-2022-35256

CVSS 6.5 · Medium EPSS 2,8%

Kerentanan Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') pada nodejs node.js, llhttp +2 lainnya. Skor CVSS 3.1 6.5 (Medium) menurut NVD.

Deskripsi (NVD)

The llhttp parser in the http module in Node v18.7.0 does not correctly handle header fields that are not terminated with CLRF. This may result in HTTP Request Smuggling.

Rincian

Terbit di NVD: 5 Desember 2022
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 6.5 (Medium), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')
EPSS (30 hari): 2,8% peluang dieksploitasi; lebih tinggi dari 85,9% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
nodejs	node.js	Versi 14.0.0 hingga 14.14.0
nodejs	node.js	Versi 14.15.0 hingga sebelum 14.20.1
nodejs	node.js	Versi 16.0.0 hingga 16.12.0
nodejs	node.js	Versi 16.13.0 hingga sebelum 16.17.1
nodejs	node.js	Versi 18.0.0 hingga sebelum 18.9.1
llhttp	llhttp	Semua versi sebelum 6.0.10
siemens	sinec ins	Semua versi sebelum 1.0
siemens	sinec ins	Versi 1.0
siemens	sinec ins	Versi 1.0 sp1
siemens	sinec ins	Versi 1.0 sp2
debian	debian linux	Versi 11.0

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://cert-portal.siemens.com/productcert/pdf/ssa-332410.pdf advisory pihak ketiga
https://hackerone.com/reports/1675191 exploit · issue tracking · advisory pihak ketiga
https://www.debian.org/security/2023/dsa-5326 advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.