Vulnerabilidad · Publicado 31/05/2026 · Actualizado 01/06/2026
Node.js 20 contiene una falla en su analizador HTTP (llhttp) que acepta terminadores de encabezado malformados (`\r\n\rX` en lugar de `\r\n\r\n`), permitiendo request smuggling. Esta inconsistencia habilita a atacantes para eludir controles de acceso en proxies y enviar solicitudes no autorizadas. La vulnerabilidad afecta únicamente a Node.js 20.x anteriores a la actualización de llhttp v9. Empresas en LATAM con infraestructuras web basadas en Node.js deben verificar y actualizar inmediatamente.
Microsoft ha publicado una actualización de seguridad para abordar esta vulnerabilidad. Consulta el advisory oficial para detalles técnicos completos.
CVE-2025-23167 — NVD National Vulnerability Database
Advisory publicado por Microsoft Security Response Center (MSRC). Consulta el advisory completo para vectores de ataque, sistemas afectados y actualizaciones disponibles.