CVE-2026-18149
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W bibliotece undici w wersjach od 7.11.0 do 7.29.1 oraz od 8.0.0 do 8.10.2, mechanizm ponawiania (retry handler) może pozostawić już wystawione ciało odpowiedzi w stanie oczekiwania na zawsze. Gdy serwer zwraca odpowiedź z Content-Length, wysyła tylko część ciała i zamyka połączenie, retry handler ponawia żądanie. Jeśli ponowienie zwróci status niepodlegający ponowieniu (np. 400), handler przekazuje nową odpowiedź, ale oryginalne ciało odpowiedzi nie jest kończone ani niszczone, co powoduje, że odczyty tego ciała nigdy nie są kończone, a limit czasu nie działa.
Ocena ryzyka
Ryzyko polega na możliwości wyczerpania zasobów aplikacji (pamięci, liczby połączeń) przez atakującego serwer, który może wysyłać krótkie odpowiedzi, powodując narastanie oczekujących obietnic i strumieni. Może to prowadzić do odmowy usługi.
Rekomendacja
Zaleca się aktualizację undici do wersji 7.29.1 lub 8.10.2, które zawierają poprawkę. Należy również rozważyć ograniczenie liczby jednoczesnych żądań i monitorowanie zużycia pamięci.
Inne podatności w undici
Zobacz wszystkie- CVE-2026-116630Średnie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 7.0.0–7.30.1 i 8.0.0–8.12.3, gdy Agent łączy interceptory przekierowań i współdzielonego cache, odpowiedź z cache rewalidowana warunkowym żądaniem może zostać potwierdzona przez 304 Not Modified z innego origin. W wyniku tego współdzielony cache może zwrócić późniejszemu nieuwierzytelnionemu klientowi zapisaną uwierzytelnioną odpowiedź oryginalnego origin.
- CVE-2026-120474Średnie
W kliencie HTTP undici dla Node.js (wersje 7.0.0–7.30.1 i 8.0.0–8.12.3) połączenie interceptora przekierowań ze współdzielonym cache powoduje, że uwierzytelnione żądanie przekierowane do tego samego originu zapisuje odpowiedź pod kluczem pierwotnego żądania, bez poświadczeń i nagłówka Vary. Późniejszy anonimowy lub inny użytkownik może otrzymać prywatną odpowiedź pierwszego użytkownika.
- CVE-2026-120423Średnie
W kliencie HTTP undici dla Node.js (wersje 7.15.0–7.30.1 i 8.0.0–8.12.3) funkcja fetch weryfikuje metadane Subresource Integrity, dzieląc ciąg tylko po pojedynczej spacji, podczas gdy gramatyka SRI dopuszcza także tabulatory i inne białe znaki ASCII. Wartość integralności poprzedzona tabulatorem jest ignorowana, a undici traktuje listę jako pustą i akceptuje odpowiedź, co pozwala serwerowi zwrócić inne ciało niż przypięty skrót.
- CVE-2026-120415Średnie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 7.0.0–7.30.1 oraz 8.0.0–8.12.3 mechanizm przekierowań nie usuwa wrażliwych nagłówków (Authorization, Cookie, Proxy-Authorization, Host) przy przekierowaniu na inną domenę, jeśli nagłówki żądania podano jako tablicę krotek nazwa-wartość. W połączeniu z interceptorem normalizującym nagłówki (cache, deduplicate) dochodzi do ujawnienia poświadczeń powiązanych z domeną źródłową niepowiązanemu celowi przekierowania.
- CVE-2026-120222Średnie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 7.0.0–7.30.1 oraz 8.0.0–8.12.3, gdy interceptor cache współpracuje z handlerem rzucającym wyjątek podczas przetwarzania odpowiedzi (np. dump przekraczający maxSize lub decompress odrzucający więcej niż pięć wartości Content-Encoding), asynchronicznie zgłoszony wyjątek podczas odtwarzania odpowiedzi z cache staje się nieprzechwyconym wyjątkiem lub odrzuconą obietnicą i kończy proces Node.js.
- CVE-2026-116592Wysokie
W kliencie HTTP undici dla Node.js (wersje 7.30.1 oraz 8.12.2–8.12.3) połączenie interceptora przekierowań i współdzielonego cache pozwala na zatruwanie cache, ponieważ decyzja o zapisie opiera się tylko na ostatnim skoku przekierowania. Może to skutkować udostępnieniem prywatnej odpowiedzi innego użytkownika lub zignorowaniem nagłówka Vary i statusu no-cache.
- CVE-2026-87029Średnie
undici to biblioteka klienta HTTP dla Node.js. W wersjach 7.15.0 do 7.30.0 oraz 8.0.0 do 8.12.1 interceptor dekompresji przekazuje zdekompresowane dane do handlera bez przechwytywania wyjątków z callbacków strumienia zlib. Gdy handler zgłasza wyjątek asynchronicznie z callbacku zlib, staje się on nieprzechwyconym wyjątkiem, który kończy proces Node.js. Złośliwy serwer HTTP może wysłać małe skompresowane ciało, które dekompresuje się do rozmiaru przekraczającego limit, powodując awarię klienta.
- CVE-2026-87018Wysokie
undici to biblioteka klienta HTTP dla Node.js. W wersjach od 4.2.1 do 6.29.0, od 7.0.0 do 7.30.0 oraz od 8.0.0 do 8.12.1 proces klienta ulega awarii, gdy serwer TLS 1.2 przeprowadzi renegocjację po nawiązaniu połączenia i przedstawi inny certyfikat zaufany przez CA, którego nazwa hosta nie pasuje do żądanego hosta. Node.js ponownie wykonuje weryfikację nazwy hosta na renegocjowanym uzgadnianiu i niszczy gniazdo z błędem certificate-altname, ale obsługa błędów ustanowionego gniazda w undici zakładała, że ten kod błędu nigdy nie wystąpi, więc kontrolowany przez drugą stronę błąd staje się nieprzechwyconym asercją, która kończy proces Node.js, dotykając zarówno ścieżek HTTP/1.1, jak i HTTP/2. Złośliwy lub przejęty punkt końcowy HTTPS osiągany przez undici lub globalny fetch() może zawiesić klienta pojedynczą renegocjacją zainicjowaną przez serwer, powodując awarię wszystkich żądań w locie i pracy w tle, a wykorzystanie nie wymaga kompromitacji CA, ponieważ atakujący kontroluje punkt końcowy i może przedstawić dwa zwykłe ważne certyfikaty. Dotyczy tylko TLS 1.2, ponieważ TLS 1.3 nie obsługuje renegocjacji. Problem naprawiono w undici 6.29.1, 7.30.1 i 8.12.2, a użytkownicy powinni zaktualizować do jednej z tych wersji lub nowszej. Jako obejście należy ograniczyć połączenia wychodzące do TLS 1.3, aby renegocjacja nie mogła wystąpić, gdy docelowe punkty końcowe to obsługują.
- CVE-2026-109932Średnie
Biblioteka undici (wersje 5.15.0-6.29.0, 7.0.0-7.30.0, 8.0.0-8.12.1) ma podatność w kliencie WebSocket, która pozwala złośliwemu serwerowi na wyczerpanie pamięci procesu poprzez wysyłanie ramek PING bez odczytywania odpowiedzi PONG, co prowadzi do nieograniczonego wzrostu kolejki zapisu i sterty.
- CVE-2026-109924Średnie
Biblioteka undici (wersje 6.5.0-6.29.0, 7.0.0-7.30.0, 8.0.0-8.12.1) ma podatność w kliencie EventSource, która pozwala złośliwemu serwerowi na wyczerpanie pamięci procesu poprzez wysyłanie wielu małych pól danych bez separatora lub pojedynczej nieukończonej linii podzielonej na wiele fragmentów, co prowadzi do gromadzenia stanu parsera poza limitami.
Oryginalny opis (angielski, źródło NVD)
undici's retry handler can leave an already-exposed response body pending forever. When a server returns a successful response that declares a Content-Length, sends only part of the body, and closes the connection, the retry handler retries the request. If the retry returns a non-retryable status such as 400, the handler forwards that new response downstream and replaces its internal response stream, but the original response body that the application still holds is never ended or destroyed. As a result calls that read that body never settle, and the configured body timeout does not fire because its timer is tied to the connection parser rather than the orphaned body. An attacker-controlled server can trigger this with two short responses without keeping a connection open, and repeated requests accumulate pending promises and streams that can exhaust application concurrency or memory. This affects undici versions from 7.11.0 up to 7.29.1 and from 8.0.0 up to 8.10.2. Users should upgrade to undici 7.29.1 or 8.10.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS