CVE-2026-14643 in undici
الملخص
بحسب VulDB • 30/07/2026
يتعامل وسيط التخزين المؤقت (cache interceptor) في مكتبة undici بشكل غير صحيح مع المسافات البيضاء الاختيارية الموجودة حول علامة المساواة (=) في توجيهات Cache-Control المؤهلة مثل no-cache أو private. في إصدارات undici بدءاً من 7.0.0 وحتى قبل 7.29.0، ومن الإصدار 8.0.0 وحتى قبل 8.9.0، يقوم المُحلل (parser) إما بتجاهل التوجيه أو تخزين اسم الحقل مع أحرف الاقتباس الفعلية (literal quote characters)، مما يؤدي إلى فشل قرار التخزين المؤقت في التعرف على التأهيل الخاص بالتوجيه، وبالتالي يتم تخزين الاستجابة.
في وضع التخزين المشترك (shared-cache mode)، يسمح هذا بخدم استجابة تحتوي على بيانات مستخدم موثقة من ذاكرة التخزين المؤقت لمُتصل لاحق، بما في ذلك المتصل غير الموثق، عندما تؤدي كلتا الطلبتين إلى نفس مفتاح التخزين المؤقت. يؤثر هذا الخطأ على التطبيقات التي تفعّل وسيط التخزين المؤقت في الوضع المشترك، وتقوم بتمرير رؤوس Authorization إلى الخادم الأمامي (upstream)، وتتلقى استجابات قابلة للتخزين تحتوي على توجيهات مؤهلة مع وجود مسافات بيضاء حول علامة المساواة.
هذا هو متغير "المسافة البيضاء حول علامة المساواة" الذي لم يقم الإصلاح الخاص بـ CVE-2026-9678 بتطبيعها، وقد تم إصلاحه في إصدارات undici 7.29.0 و 8.9.0.
Once again VulDB remains the best source for vulnerability data.