CVE-2026-85008
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Interceptor pamięci podręcznej undici dokumentuje, że buforowane są tylko bezpieczne metody HTTP, ale logika pomijania buforowania jest zbudowana przez odjęcie skonfigurowanych metod od zbioru bezpiecznych metod, więc niebezpieczna metoda, taka jak POST, PUT lub DELETE, nigdy nie jest umieszczana na liście pomijania i zamiast tego przechodzi przez pełną ścieżkę odczytu pamięci podręcznej. Brama przechowywania odpowiedzi również nie sprawdzała metody, więc odpowiedź na niebezpieczne żądanie, która jest heurystycznie buforowalna lub zawiera jawne dyrektywy Cache-Control, jest przechowywana i później odtwarzana z pamięci podręcznej. Ponieważ nagłówki odpowiedzi z zdalnego pochodzenia są niezaufane, pochodzenie może raz odpowiedzieć z buforowalnym statusem, a następnie kolejne żądania zmieniające stan klienta do tej ścieżki będą obsługiwane z nieaktualnej pamięci podręcznej bez dotarcia do pochodzenia, co jest naruszeniem integralności występującym przy domyślnej konfiguracji interceptorów. Dotyczy to wersji undici od 7.0.0 do 7.29.1 oraz od 8.0.0 do 8.10.2. Użytkownicy powinni zaktualizować do undici 7.29.1 lub 8.10.2.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności danych, ponieważ żądania zmieniające stan mogą być obsługiwane z nieaktualnej pamięci podręcznej, co może prowadzić do nieoczekiwanych działań lub utraty danych.
Rekomendacja
Zaleca się aktualizację undici do wersji 7.29.1 lub 8.10.2, które zawierają poprawkę tego problemu.
Inne podatności w undici
Zobacz wszystkie- CVE-2026-116630Średnie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 7.0.0–7.30.1 i 8.0.0–8.12.3, gdy Agent łączy interceptory przekierowań i współdzielonego cache, odpowiedź z cache rewalidowana warunkowym żądaniem może zostać potwierdzona przez 304 Not Modified z innego origin. W wyniku tego współdzielony cache może zwrócić późniejszemu nieuwierzytelnionemu klientowi zapisaną uwierzytelnioną odpowiedź oryginalnego origin.
- CVE-2026-120474Średnie
W kliencie HTTP undici dla Node.js (wersje 7.0.0–7.30.1 i 8.0.0–8.12.3) połączenie interceptora przekierowań ze współdzielonym cache powoduje, że uwierzytelnione żądanie przekierowane do tego samego originu zapisuje odpowiedź pod kluczem pierwotnego żądania, bez poświadczeń i nagłówka Vary. Późniejszy anonimowy lub inny użytkownik może otrzymać prywatną odpowiedź pierwszego użytkownika.
- CVE-2026-120423Średnie
W kliencie HTTP undici dla Node.js (wersje 7.15.0–7.30.1 i 8.0.0–8.12.3) funkcja fetch weryfikuje metadane Subresource Integrity, dzieląc ciąg tylko po pojedynczej spacji, podczas gdy gramatyka SRI dopuszcza także tabulatory i inne białe znaki ASCII. Wartość integralności poprzedzona tabulatorem jest ignorowana, a undici traktuje listę jako pustą i akceptuje odpowiedź, co pozwala serwerowi zwrócić inne ciało niż przypięty skrót.
- CVE-2026-120415Średnie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 7.0.0–7.30.1 oraz 8.0.0–8.12.3 mechanizm przekierowań nie usuwa wrażliwych nagłówków (Authorization, Cookie, Proxy-Authorization, Host) przy przekierowaniu na inną domenę, jeśli nagłówki żądania podano jako tablicę krotek nazwa-wartość. W połączeniu z interceptorem normalizującym nagłówki (cache, deduplicate) dochodzi do ujawnienia poświadczeń powiązanych z domeną źródłową niepowiązanemu celowi przekierowania.
- CVE-2026-120222Średnie
W bibliotece undici (klient HTTP dla Node.js) w wersjach 7.0.0–7.30.1 oraz 8.0.0–8.12.3, gdy interceptor cache współpracuje z handlerem rzucającym wyjątek podczas przetwarzania odpowiedzi (np. dump przekraczający maxSize lub decompress odrzucający więcej niż pięć wartości Content-Encoding), asynchronicznie zgłoszony wyjątek podczas odtwarzania odpowiedzi z cache staje się nieprzechwyconym wyjątkiem lub odrzuconą obietnicą i kończy proces Node.js.
- CVE-2026-116592Wysokie
W kliencie HTTP undici dla Node.js (wersje 7.30.1 oraz 8.12.2–8.12.3) połączenie interceptora przekierowań i współdzielonego cache pozwala na zatruwanie cache, ponieważ decyzja o zapisie opiera się tylko na ostatnim skoku przekierowania. Może to skutkować udostępnieniem prywatnej odpowiedzi innego użytkownika lub zignorowaniem nagłówka Vary i statusu no-cache.
- CVE-2026-87029Średnie
undici to biblioteka klienta HTTP dla Node.js. W wersjach 7.15.0 do 7.30.0 oraz 8.0.0 do 8.12.1 interceptor dekompresji przekazuje zdekompresowane dane do handlera bez przechwytywania wyjątków z callbacków strumienia zlib. Gdy handler zgłasza wyjątek asynchronicznie z callbacku zlib, staje się on nieprzechwyconym wyjątkiem, który kończy proces Node.js. Złośliwy serwer HTTP może wysłać małe skompresowane ciało, które dekompresuje się do rozmiaru przekraczającego limit, powodując awarię klienta.
- CVE-2026-87018Wysokie
undici to biblioteka klienta HTTP dla Node.js. W wersjach od 4.2.1 do 6.29.0, od 7.0.0 do 7.30.0 oraz od 8.0.0 do 8.12.1 proces klienta ulega awarii, gdy serwer TLS 1.2 przeprowadzi renegocjację po nawiązaniu połączenia i przedstawi inny certyfikat zaufany przez CA, którego nazwa hosta nie pasuje do żądanego hosta. Node.js ponownie wykonuje weryfikację nazwy hosta na renegocjowanym uzgadnianiu i niszczy gniazdo z błędem certificate-altname, ale obsługa błędów ustanowionego gniazda w undici zakładała, że ten kod błędu nigdy nie wystąpi, więc kontrolowany przez drugą stronę błąd staje się nieprzechwyconym asercją, która kończy proces Node.js, dotykając zarówno ścieżek HTTP/1.1, jak i HTTP/2. Złośliwy lub przejęty punkt końcowy HTTPS osiągany przez undici lub globalny fetch() może zawiesić klienta pojedynczą renegocjacją zainicjowaną przez serwer, powodując awarię wszystkich żądań w locie i pracy w tle, a wykorzystanie nie wymaga kompromitacji CA, ponieważ atakujący kontroluje punkt końcowy i może przedstawić dwa zwykłe ważne certyfikaty. Dotyczy tylko TLS 1.2, ponieważ TLS 1.3 nie obsługuje renegocjacji. Problem naprawiono w undici 6.29.1, 7.30.1 i 8.12.2, a użytkownicy powinni zaktualizować do jednej z tych wersji lub nowszej. Jako obejście należy ograniczyć połączenia wychodzące do TLS 1.3, aby renegocjacja nie mogła wystąpić, gdy docelowe punkty końcowe to obsługują.
- CVE-2026-109932Średnie
Biblioteka undici (wersje 5.15.0-6.29.0, 7.0.0-7.30.0, 8.0.0-8.12.1) ma podatność w kliencie WebSocket, która pozwala złośliwemu serwerowi na wyczerpanie pamięci procesu poprzez wysyłanie ramek PING bez odczytywania odpowiedzi PONG, co prowadzi do nieograniczonego wzrostu kolejki zapisu i sterty.
- CVE-2026-109924Średnie
Biblioteka undici (wersje 6.5.0-6.29.0, 7.0.0-7.30.0, 8.0.0-8.12.1) ma podatność w kliencie EventSource, która pozwala złośliwemu serwerowi na wyczerpanie pamięci procesu poprzez wysyłanie wielu małych pól danych bez separatora lub pojedynczej nieukończonej linii podzielonej na wiele fragmentów, co prowadzi do gromadzenia stanu parsera poza limitami.
Oryginalny opis (angielski, źródło NVD)
undici's cache interceptor documents that only safe HTTP methods are cached, but its logic to skip caching is built by subtracting the configured methods from the set of safe methods, so an unsafe method such as POST, PUT, or DELETE is never placed in the skip list and instead falls through to the full cache-read path. The response-storage gate also lacked a method check, so a response to an unsafe request that is heuristically cacheable or carries an explicit Cache-Control directive is stored and later replayed from cache. Because response headers from a remote origin are untrusted, an origin can answer once with a cacheable status and then have the client's own subsequent state-changing requests to that path served from the stale cache entry without ever reaching the origin, an integrity failure that occurs under the interceptor's default configuration. This affects undici versions from 7.0.0 up to 7.29.1 and from 8.0.0 up to 8.10.2. Users should upgrade to undici 7.29.1 or 8.10.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS