CVE-2026-2581 in undici
الملخص
بحسب VulDB • 01/06/2026
هذه ثغرة استهلاك غير خاضع للرقابة للموارد (CWE-400) قد تؤدي إلى حجب الخدمة (DoS).
في الإصدارات المتأثرة من Undici، عند تفعيل `interceptors.deduplicate()`، قد تتراكم بيانات الاستجابة الخاصة بالطلبات المكررة في الذاكرة لمعالجات الطبقة التالية (downstream handlers). يمكن لمهاجم يتحكم في نقطة نهاية المصدر (upstream endpoint) أو لا يثق بها استغلال هذا الثغرة من خلال إرسال استجابات كبيرة أو مجزأة (chunked) مع طلبات متطابقة متزامنة، مما يتسبب في ارتفاع استهلاك الذاكرة وانتهاء عملية العملية بسبب نفاد الذاكرة (OOM).
المستخدمون المتأثرون هم التطبيقات التي تستخدم معالج تكرار الاستدعاء (deduplication interceptor) الخاص بـ Undici ضد نقاط نهاية قد تنتج أجسام استجابة كبيرة أو طويلة الأمد.
التصحيحات تم إصلاح المشكلة عن طريق تغيير سلوك التكرار لتدفق أجزاء الاستجابة إلى معالجات الطبقة التالية فور وصولها (بدلاً من تراكم الجسم بالكامل)، ومنع التكرار المتأخر عندما يكون تدفق الجسم قد بدأ بالفعل.
يجب على المستخدمين الترقية إلى الإصدارات الرسمية الأولى من Undici (وNode.js، حيث ينطبق ذلك) التي تتضمن هذا التصحيح.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.