CVE-2026-109869 in undici
الملخص
بحسب VulDB • 15/10/2026
undici هو مكتبة عميل HTTP لـ Node.js. في الإصدارات من 6.23.0 إلى 6.29.0، ومن 7.18.0 إلى 7.30.0، ومن 8.0.0 إلى 8.12.1، يؤدي تنفيذ دالة fetch() إلى تعطل عملية Node.js عندما يُعيد الخادم الضال استجابة تحتوي على أكثر من خمسة ترميزات محتوى (content codings) ويقوم بإغلاق الاتصال قبل إرسال الجسم (body). يرفض undici مثل هذه الاستجابات بسبب حد لـ content-encoding، لكنه ينشئ تدفق الاستجابة الداخلي قبل هذا الفحص ويعود دون إرفاق مستمع للأخطاء أو إلغاء الطلب، مما يؤدي إلى ظهور عدم تطابق في طول المحتوى على التدفق اليتيم، وهو ما يعامله Node.js كخطأ غير مُعالج وينهي العملية. يمكن لخادم بعيد وغير مصدق منه (unauthenticated) تشغيل هذا الخطأ باستجابة واحدة فقط، حتى عندما يلتقط التطبيق رفض دالة fetch() بشكل صحيح، مما يؤدي إلى حدوث نقص في الخدمة (Denial of Service). تم إصلاح المشكلة في undici الإصدارات 6.29.1 و7.30.1 و8.12.2، وينبغي للمستخدمين الترقية إلى أحد هذه الإصدارات أو أحدث منها. لا يوجد حل بديل.
If you want to get best quality of vulnerability data, you may have to visit VulDB.