CVE-2026-18540
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W bibliotece undici przed wersją 6.28.1, od 7.0.0 do 7.29.1 oraz od 8.0.0 do 8.10.2, interceptor ponawiania może dołączyć ciało odpowiedzi z ponowionego żądania zakresowego do już dostarczonych bajtów z wcześniejszej częściowej odpowiedzi, jednocześnie prezentując oryginalny status i nagłówki. Może to spowodować, że ciało odpowiedzi będzie dłuższe niż Content-Length obserwowane przez aplikację. Aplikacja przekazująca taką odpowiedź do klienta HTTP/1.1 bez normalizacji ramki może wysłać ciało przekraczające przekazany Content-Length, a nadmiarowe bajty mogą być interpretowane jako początek kolejnej odpowiedzi, co umożliwia rozdzielenie odpowiedzi lub desynchronizację.
Ocena ryzyka
Ryzyko jest wysokie w środowiskach, gdzie aplikacja przekazuje odpowiedzi do klientów HTTP/1.1 i jest podatna na ataki typu response splitting. Atakujący kontrolujący serwer źródłowy może wykorzystać tę podatność do manipulowania odpowiedziami.
Rekomendacja
Zaleca się aktualizację undici do wersji 6.28.1, 7.29.1 lub 8.10.2. Należy również rozważyć normalizację ramek odpowiedzi w aplikacjach przekazujących dalej.
Inne podatności w undici
Zobacz wszystkie- CVE-2026-116630Średnie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 7.0.0–7.30.1 i 8.0.0–8.12.3, gdy Agent łączy interceptory przekierowań i współdzielonego cache, odpowiedź z cache rewalidowana warunkowym żądaniem może zostać potwierdzona przez 304 Not Modified z innego origin. W wyniku tego współdzielony cache może zwrócić późniejszemu nieuwierzytelnionemu klientowi zapisaną uwierzytelnioną odpowiedź oryginalnego origin.
- CVE-2026-120474Średnie
W kliencie HTTP undici dla Node.js (wersje 7.0.0–7.30.1 i 8.0.0–8.12.3) połączenie interceptora przekierowań ze współdzielonym cache powoduje, że uwierzytelnione żądanie przekierowane do tego samego originu zapisuje odpowiedź pod kluczem pierwotnego żądania, bez poświadczeń i nagłówka Vary. Późniejszy anonimowy lub inny użytkownik może otrzymać prywatną odpowiedź pierwszego użytkownika.
- CVE-2026-120423Średnie
W kliencie HTTP undici dla Node.js (wersje 7.15.0–7.30.1 i 8.0.0–8.12.3) funkcja fetch weryfikuje metadane Subresource Integrity, dzieląc ciąg tylko po pojedynczej spacji, podczas gdy gramatyka SRI dopuszcza także tabulatory i inne białe znaki ASCII. Wartość integralności poprzedzona tabulatorem jest ignorowana, a undici traktuje listę jako pustą i akceptuje odpowiedź, co pozwala serwerowi zwrócić inne ciało niż przypięty skrót.
- CVE-2026-120415Średnie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 7.0.0–7.30.1 oraz 8.0.0–8.12.3 mechanizm przekierowań nie usuwa wrażliwych nagłówków (Authorization, Cookie, Proxy-Authorization, Host) przy przekierowaniu na inną domenę, jeśli nagłówki żądania podano jako tablicę krotek nazwa-wartość. W połączeniu z interceptorem normalizującym nagłówki (cache, deduplicate) dochodzi do ujawnienia poświadczeń powiązanych z domeną źródłową niepowiązanemu celowi przekierowania.
- CVE-2026-120222Średnie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 7.0.0–7.30.1 oraz 8.0.0–8.12.3, gdy interceptor cache współpracuje z handlerem rzucającym wyjątek podczas przetwarzania odpowiedzi (np. dump przekraczający maxSize lub decompress odrzucający więcej niż pięć wartości Content-Encoding), asynchronicznie zgłoszony wyjątek podczas odtwarzania odpowiedzi z cache staje się nieprzechwyconym wyjątkiem lub odrzuconą obietnicą i kończy proces Node.js.
- CVE-2026-116592Wysokie
W kliencie HTTP undici dla Node.js (wersje 7.30.1 oraz 8.12.2–8.12.3) połączenie interceptora przekierowań i współdzielonego cache pozwala na zatruwanie cache, ponieważ decyzja o zapisie opiera się tylko na ostatnim skoku przekierowania. Może to skutkować udostępnieniem prywatnej odpowiedzi innego użytkownika lub zignorowaniem nagłówka Vary i statusu no-cache.
- CVE-2026-87029Średnie
undici to biblioteka klienta HTTP dla Node.js. W wersjach 7.15.0 do 7.30.0 oraz 8.0.0 do 8.12.1 interceptor dekompresji przekazuje zdekompresowane dane do handlera bez przechwytywania wyjątków z callbacków strumienia zlib. Gdy handler zgłasza wyjątek asynchronicznie z callbacku zlib, staje się on nieprzechwyconym wyjątkiem, który kończy proces Node.js. Złośliwy serwer HTTP może wysłać małe skompresowane ciało, które dekompresuje się do rozmiaru przekraczającego limit, powodując awarię klienta.
- CVE-2026-87018Wysokie
undici to biblioteka klienta HTTP dla Node.js. W wersjach od 4.2.1 do 6.29.0, od 7.0.0 do 7.30.0 oraz od 8.0.0 do 8.12.1 proces klienta ulega awarii, gdy serwer TLS 1.2 przeprowadzi renegocjację po nawiązaniu połączenia i przedstawi inny certyfikat zaufany przez CA, którego nazwa hosta nie pasuje do żądanego hosta. Node.js ponownie wykonuje weryfikację nazwy hosta na renegocjowanym uzgadnianiu i niszczy gniazdo z błędem certificate-altname, ale obsługa błędów ustanowionego gniazda w undici zakładała, że ten kod błędu nigdy nie wystąpi, więc kontrolowany przez drugą stronę błąd staje się nieprzechwyconym asercją, która kończy proces Node.js, dotykając zarówno ścieżek HTTP/1.1, jak i HTTP/2. Złośliwy lub przejęty punkt końcowy HTTPS osiągany przez undici lub globalny fetch() może zawiesić klienta pojedynczą renegocjacją zainicjowaną przez serwer, powodując awarię wszystkich żądań w locie i pracy w tle, a wykorzystanie nie wymaga kompromitacji CA, ponieważ atakujący kontroluje punkt końcowy i może przedstawić dwa zwykłe ważne certyfikaty. Dotyczy tylko TLS 1.2, ponieważ TLS 1.3 nie obsługuje renegocjacji. Problem naprawiono w undici 6.29.1, 7.30.1 i 8.12.2, a użytkownicy powinni zaktualizować do jednej z tych wersji lub nowszej. Jako obejście należy ograniczyć połączenia wychodzące do TLS 1.3, aby renegocjacja nie mogła wystąpić, gdy docelowe punkty końcowe to obsługują.
- CVE-2026-109932Średnie
Biblioteka undici (wersje 5.15.0-6.29.0, 7.0.0-7.30.0, 8.0.0-8.12.1) ma podatność w kliencie WebSocket, która pozwala złośliwemu serwerowi na wyczerpanie pamięci procesu poprzez wysyłanie ramek PING bez odczytywania odpowiedzi PONG, co prowadzi do nieograniczonego wzrostu kolejki zapisu i sterty.
- CVE-2026-109924Średnie
Biblioteka undici (wersje 6.5.0-6.29.0, 7.0.0-7.30.0, 8.0.0-8.12.1) ma podatność w kliencie EventSource, która pozwala złośliwemu serwerowi na wyczerpanie pamięci procesu poprzez wysyłanie wielu małych pól danych bez separatora lub pojedynczej nieukończonej linii podzielonej na wiele fragmentów, co prowadzi do gromadzenia stanu parsera poza limitami.
Oryginalny opis (angielski, źródło NVD)
undici's retry interceptor can append the body of a ranged retry response to bytes already delivered from an earlier partial response while still presenting the original response's status and headers. This happens when an upstream server delivers part of a body without a trustworthy resume checkpoint, for example a non-success response whose headers were already sent or a partial-content response with an unusable content range, then closes the connection and answers the resumed range request with more bytes. As a result the response body can be longer than the Content-Length that the application observes. An application that relays such a response to a downstream HTTP/1.1 peer without normalizing the framing can emit a body that exceeds the forwarded Content-Length, and the excess bytes can be interpreted as the start of a following response, which enables downstream response splitting or desynchronization. Exploitation requires an attacker-controlled upstream server and an application that forwards the response through a framing-sensitive path. This affects undici versions before 6.28.1, from 7.0.0 up to 7.29.1, and from 8.0.0 up to 8.10.2. Users should upgrade to undici 6.28.1, 7.29.1, or 8.10.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS