CVE catalog

CVE-2019-5739

nodejs: CVE-2019-5739

[CVE catalog]

Severity
Medium · CVSS 5.3CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Published
Source
[NVD] · [CVE record]
EPSS
4.93% · Oct 25, 2026

Keep-alive HTTP and HTTPS connections can remain open and inactive for up to 2 minutes in Node.js 6.16.0 and earlier. Node.js 8.0.0 introduced a dedicated server.keepAliveTimeout which defaults to 5 seconds. The behavior in Node.js 6.16.0 and earlier is a potential Denial of Service (DoS) attack vector. Node.js 6.17.0 introduces server.keepAliveTimeout and the 5-second default.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debiannodejssid24.22.1+dfsg+~cs24.19.2-1fixed
Debiannodejsforky24.21.0+dfsg+~cs24.13.4-1fixed
Debiannodejstrixie20.19.2+dfsg-1+deb13u2fixed
Debiannodejstrixie-security20.19.2+dfsg-1+deb13u3fixed
Debiannodejsbookworm18.20.4+dfsg-1~deb12u2fixed
Debiannodejsbookworm-security18.20.4+dfsg-1~deb12u3fixed
Ubuntunodejspro0.10.25~dfsg2-2ubuntu1vulnerable
Ubuntunodejspro4.2.2~dfsg-1vulnerable
Ubuntunodejspro4.2.3~dfsg-1vulnerable
Ubuntunodejspro4.2.4~dfsg-1ubuntu1vulnerable
Ubuntunodejspro4.2.4~dfsg-2vulnerable
Ubuntunodejspro4.2.6~dfsg-1ubuntu1vulnerable
Ubuntunodejspro4.2.6~dfsg-1ubuntu4vulnerable
Ubuntunodejspro4.2.6~dfsg-1ubuntu4.1vulnerable
Ubuntunodejspro4.2.6~dfsg-1ubuntu4.2vulnerable
Ubuntunodejspro4.2.6~dfsg-1ubuntu4.2+esm1vulnerable
Ubuntunodejspro4.2.6~dfsg-1ubuntu4.2+esm2vulnerable
Ubuntunodejspro4.2.6~dfsg-1ubuntu4.2+esm3vulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debiannodejssourcesid8.9.3~dfsg-5unimportantNot reportedNot reported
Debiannodejssourceforky8.9.3~dfsg-5unimportantNot reportedNot reported
Debiannodejssourcetrixie8.9.3~dfsg-5unimportantNot reportedNot reported
Debiannodejssourcebookworm8.9.3~dfsg-5unimportantNot reportedNot reported

OpenFactory catalog packages

Matching against OpenFactory catalog package versions is in progress.

[Debian 12 (Bookworm)]

  • [libnode108]Unknown

    Source package: [nodejs]

    Details (4)

    • 18.20.4+dfsg-1~deb12u2 · amd64 · bookworm

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · arm64 · bookworm

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

  • [libnode-dev]Unknown

    Source package: [nodejs]

    Details (4)

    • 18.20.4+dfsg-1~deb12u2 · amd64 · bookworm

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · arm64 · bookworm

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

  • [nodejs]Unknown
    Details (4)

    • 18.20.4+dfsg-1~deb12u2 · amd64 · bookworm

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · arm64 · bookworm

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · amd64 · bookworm-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · arm64 · bookworm-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

  • [nodejs-doc]Unknown

    Source package: [nodejs]

    Details (4)

    • 18.20.4+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · all · bookworm

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

    • 18.20.4+dfsg-1~deb12u2 · all · bookworm-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · bookworm; dsa · nodejs · debian · 12

[Debian 13 (Trixie)]

  • [libnode115]Unknown

    Source package: [nodejs]

    Details (5)

    • 20.19.2+dfsg-1+deb13u2 · amd64 · trixie

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · arm64 · trixie

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

  • [libnode-dev]Unknown

    Source package: [nodejs]

    Details (5)

    • 20.19.2+dfsg-1+deb13u2 · amd64 · trixie

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · arm64 · trixie

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

  • [nodejs]Unknown
    Details (5)

    • 20.19.2+dfsg-1+deb13u2 · amd64 · trixie

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · arm64 · trixie

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · amd64 · trixie-security · Historical version

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · arm64 · trixie-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u3 · amd64 · trixie-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

  • [nodejs-doc]Unknown

    Source package: [nodejs]

    Details (5)

    • 20.19.2+dfsg-1+deb13u2 · all · trixie

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · all · trixie

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · all · trixie-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u2 · all · trixie-security · Historical version

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

    • 20.19.2+dfsg-1+deb13u3 · all · trixie-security

      Fixed · Fixed: 8.9.3~dfsg-5

      dsa · nodejs · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [SUSE security advisories and VEX]