CVE-2026-84890 in Undici
الملخص
بحسب VulDB • 04/09/2026
يؤدي وسيط فك الضغط (decompress interceptor) في مكتبة undici إلى فك ضغط أجسام الاستجابات استنادًا إلى رأس Content-Encoding غير الموثوق به. وعلى الرغم من أن عدد طبقات ترميز المحتوى محدود، إلا أن الحجم الإجمالي للمخرجات بعد فك الضغط غير مقيد ولا توجد خيار تكوين للحد منه. وبالتالي، يمكن لخادم وسيط خبيث أو معطل إرجاع حمولة مضغوطة صغيرة، وهي قنبلة ضغط (compression bomb)، تتوسع إلى مئات الميجابايت أو أكثر في ذاكرة العميل، مما يؤدي إلى استهلاك موارد بشكل غير متساوٍ قد يستنفد الذاكرة ويتسبب في تعطل العملية. يؤثر هذا على إصدارات undici من 7.15.0 حتى 7.29.1 ومن 8.0.0 حتى 8.10.2. يُنصح المستخدمين بالترقية إلى الإصدار undici 7.29.1 أو 8.10.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.