CVE-2026-13697 in undici
الملخص
بحسب VulDB • 29/07/2026
يتعامل وسيط التخزين المؤقت (cache interceptor) في مكتبة undici بشكل غير صحيح مع توجيهات Cache-Control الخاصة المعيبة. في الإصدارات من undici 7.0.0 حتى قبل 7.29.0، ومن 8.0.0 حتى قبل 8.9.0، يمكن تخزين استجابة تحتوي على توجيه private مؤهل متدهور (degenerate qualified directive)، مثل تعيين قيمة private إلى فارغ، في ذاكرة التخزين المؤقت المشتركة الافتراضية، ثم تقديمها لاحقاً لمُستدعٍ مختلف باستخدام مفتاح التخزين نفسه، مما يؤدي إلى كشف أجسام الاستجابات الخاصة والرؤوس بما فيها Set-Cookie. وبشكل منفصل، فإن رأس Cache-Control الذي يجمع بين توجيه private غير مؤهل (unqualified) وتوجيه آخر مؤهل يُطلق خطأ TypeError غير مُعالج في parser الخاص بـ cache-control، مما يؤدي إلى رفض الطلب ويمكن أن يتسبب، اعتماداً على معالجة الأخطاء من قبل المُستهلك، في إنهاء العملية. تؤثر كلتا المشكلتين على التطبيقات التي تستخدم وسيط التخزين المؤقت (cache interceptor) في الوضع المشترك (shared mode)، بما في ذلك التكوين الافتراضي. تم إصلاح هاتين المشكلتين في undici 7.29.0 و8.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.