CVE-2026-109829
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
undici w wersjach 7.0.0-7.30.0 i 8.0.0-8.12.1, gdy originless Agent łączy interceptory redirect i cache w tej kolejności ze wspólnym store'em cache, buduje klucz cache z oryginalnego URL przed zmianą origin przez redirect. Odpowiedź po przekierowaniu cross-origin jest zapisywana pod oryginalnym kluczem, co umożliwia trwałe zatrucie cache oraz ujawnienie prywatnych danych nieuwierzytelnionemu wywołującemu.
Ocena ryzyka
Atakujący kontrolujący cel przekierowania z zaufanego URL może zatruć cache i serwować własne odpowiedzi innym klientom lub ujawnić prywatne dane użytkownika.
Rekomendacja
Zaktualizuj undici do wersji 7.30.1 lub 8.12.2 (lub nowszej); jako obejście można złożyć interceptor cache przed redirect, użyć dispatcherów i store'ów per-origin lub wyłączyć współdzielony cache dla żądań z przekierowaniami.
Inne podatności w undici
Zobacz wszystkie- CVE-2026-87029Średnie
undici to biblioteka klienta HTTP dla Node.js. W wersjach 7.15.0 do 7.30.0 oraz 8.0.0 do 8.12.1 interceptor dekompresji przekazuje zdekompresowane dane do handlera bez przechwytywania wyjątków z callbacków strumienia zlib. Gdy handler zgłasza wyjątek asynchronicznie z callbacku zlib, staje się on nieprzechwyconym wyjątkiem, który kończy proces Node.js. Złośliwy serwer HTTP może wysłać małe skompresowane ciało, które dekompresuje się do rozmiaru przekraczającego limit, powodując awarię klienta.
- CVE-2026-87018Wysokie
undici to biblioteka klienta HTTP dla Node.js. W wersjach od 4.2.1 do 6.29.0, od 7.0.0 do 7.30.0 oraz od 8.0.0 do 8.12.1 proces klienta ulega awarii, gdy serwer TLS 1.2 przeprowadzi renegocjację po nawiązaniu połączenia i przedstawi inny certyfikat zaufany przez CA, którego nazwa hosta nie pasuje do żądanego hosta. Node.js ponownie wykonuje weryfikację nazwy hosta na renegocjowanym uzgadnianiu i niszczy gniazdo z błędem certificate-altname, ale obsługa błędów ustanowionego gniazda w undici zakładała, że ten kod błędu nigdy nie wystąpi, więc kontrolowany przez drugą stronę błąd staje się nieprzechwyconym asercją, która kończy proces Node.js, dotykając zarówno ścieżek HTTP/1.1, jak i HTTP/2. Złośliwy lub przejęty punkt końcowy HTTPS osiągany przez undici lub globalny fetch() może zawiesić klienta pojedynczą renegocjacją zainicjowaną przez serwer, powodując awarię wszystkich żądań w locie i pracy w tle, a wykorzystanie nie wymaga kompromitacji CA, ponieważ atakujący kontroluje punkt końcowy i może przedstawić dwa zwykłe ważne certyfikaty. Dotyczy tylko TLS 1.2, ponieważ TLS 1.3 nie obsługuje renegocjacji. Problem naprawiono w undici 6.29.1, 7.30.1 i 8.12.2, a użytkownicy powinni zaktualizować do jednej z tych wersji lub nowszej. Jako obejście należy ograniczyć połączenia wychodzące do TLS 1.3, aby renegocjacja nie mogła wystąpić, gdy docelowe punkty końcowe to obsługują.
- CVE-2026-109932Średnie
Biblioteka undici (wersje 5.15.0-6.29.0, 7.0.0-7.30.0, 8.0.0-8.12.1) ma podatność w kliencie WebSocket, która pozwala złośliwemu serwerowi na wyczerpanie pamięci procesu poprzez wysyłanie ramek PING bez odczytywania odpowiedzi PONG, co prowadzi do nieograniczonego wzrostu kolejki zapisu i sterty.
- CVE-2026-109924Średnie
Biblioteka undici (wersje 6.5.0-6.29.0, 7.0.0-7.30.0, 8.0.0-8.12.1) ma podatność w kliencie EventSource, która pozwala złośliwemu serwerowi na wyczerpanie pamięci procesu poprzez wysyłanie wielu małych pól danych bez separatora lub pojedynczej nieukończonej linii podzielonej na wiele fragmentów, co prowadzi do gromadzenia stanu parsera poza limitami.
- CVE-2026-109869Wysokie
undici, biblioteka klienta HTTP dla Node.js, w wersjach 6.23.0-6.29.0, 7.18.0-7.30.0 i 8.0.0-8.12.1 ulega awarii procesu Node.js, gdy złośliwy serwer zwróci odpowiedź z więcej niż pięcioma kodowaniami treści i zamknie połączenie przed wysłaniem ciała. undici odrzuca taką odpowiedź z powodu limitu kodowań, ale utworzony wcześniej strumień wewnętrzny nie ma podpiętego listenera błędów ani przerwania żądania, więc wczesne zamknięcie powoduje niezobsłużony błąd i zakończenie procesu.
- CVE-2026-109841Średnie
Biblioteka undici (wersje 7.15.0-7.30.0, 8.0.0-8.12.1) ma podatność w implementacji fetch(), która weryfikuje metadane Subresource Integrity (SRI) poprzez dopasowanie tokenu algorytmu do zestawu tylko małych liter, przez co ważny token w innym przypadku (np. SHA256) jest ignorowany, a odpowiedź jest akceptowana bez sprawdzenia integralności.
- CVE-2026-109383Wysokie
undici w wersjach 4.0.0-6.29.0, 7.0.0-7.30.0 i 8.0.0-8.12.1 przekazuje opcje konstruktora Agent przez głębokie klonowanie oparte na JSON przed przekazaniem do puli per-origin. Ponieważ JSON nie reprezentuje funkcji, opcja tls z callbackiem checkServerIdentity jest po cichu usuwana, przez co peer TLS, którego certyfikat miał być odrzucony przez niestandardowy callback, ale przechodzi domyślne sprawdzenia Node, jest akceptowany.
- CVE-2026-109855Wysokie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 8.11.0 i 8.11.1 eksperymentalny klient WebSocket, domyślnie włączony gdy dozwolone jest HTTP/2, błędnie obsługuje nieudany handshake WebSocket przez HTTP/2: żądanie jest już oznaczone jako zakończone, więc przerwanie staje się bezskuteczne, a strumień HTTP/2 pozostaje otwarty bez nasłuchiwacza błędów. Gdy złośliwy serwer zniszczy połączenie, osierocony strumień emituje nieobsłużony błąd i proces Node.js kończy działanie.
- CVE-2026-84890Średnie
Interceptor dekompresji w undici dekompresuje ciała odpowiedzi zgodnie z niezaufanym nagłówkiem Content-Encoding. Liczba warstw kodowania jest ograniczona, ale całkowity rozmiar zdekompresowanego wyjścia jest nieograniczony i nie ma opcji konfiguracji, aby go ograniczyć. Złośliwy lub wadliwy serwer może zwrócić mały skompresowany ładunek (bombę kompresyjną), który rozwija się do setek megabajtów lub więcej w pamięci klienta, co prowadzi do asymetrycznego zużycia zasobów, mogącego wyczerpać pamięć i spowodować awarię procesu. Dotyczy to wersji undici od 7.15.0 do 7.29.1 oraz od 8.0.0 do 8.10.2. Użytkownicy powinni zaktualizować do undici 7.29.1 lub 8.10.2.
- CVE-2026-19534Wysokie
Klient WebSocket w undici powoduje awarię całego procesu Node.js podczas uzgadniania połączenia, gdy serwer odpowiada subprotokołem, którego klient nie żądał. Dereferencja wartości null prowadzi do nieprzechwyconego wyjątku TypeError, który kończy proces.
Oryginalny opis (angielski, źródło NVD)
undici is an HTTP client library for Node.js. In versions 7.0.0 through 7.30.0 and 8.0.0 through 8.12.1, when an originless Agent composes the redirect and cache interceptors in that order with a shared cache store, the cache builds its key from the original request URL before the redirect handler changes the origin, so a response produced after a cross-origin redirect is stored under the original key. An attacker who controls the target of a redirect from a trusted URL can have their response cached under that trusted URL and served to later callers, allowing persistent cache poisoning, and the same key confusion lets a private, non-stored redirect response to a user-specific resource be stored under the original URL and served to a later unauthenticated caller, disclosing private data. Applications are affected only when an originless Agent, a shared cache store, and the redirect-then-cache composition are all used. The issue is fixed in undici 7.30.1 and 8.12.2, which verify the producing origin still matches the cache key and preserve each redirect hop's cache-control policy before storing, and users should upgrade to one of those versions or later. As a workaround, compose the cache interceptor before the redirect interceptor, use per-origin dispatchers and cache stores, or disable shared caching on redirect-capable requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS