CVE-2026-84933 in undici
الملخص
بحسب VulDB • 04/09/2026
لا يتعامل وسيط التخزين (cache interceptor) في مكتبة undici مع رأس الاستجابة Set-Cookie على الإطلاق ضمن مسار التخزين الخاص به، وبالتالي لا يرفض تخزينه ولا يقوم بإزالته. في وضع التخزين المشترك (shared cache)، وهو الوضع الافتراضي، يتم تخزين استجابة قابلة للتخزين بشكل عام وتحمل رأس Set-Cookie (على سبيل المثال، تلك التي تحمل توجيهات public و max-age) ثم إعادة تقديمها إلى متطلب لاحق يتطابق مع مفتاح التخزين نفسه. ونتيجة لذلك، يُكشف عن ملفات تعريف الارتباط الخاصة بمستخدم واحد لمستخدم آخر مختلف، ويمكن لخادم غير موثوق به حقن ملفات تعريف ارتباط في الاستجابات المخزنة التي تُقدم لجميع المتطلبات اللاحقة. وهذا ينتهك الشرط الذي يفرض على مخزن التخزين المشترك عدم تخزين ملفات تعريف الارتباط. تتأثر إصدارات undici من 7.0.0 حتى 7.29.1 ومن 8.0.0 حتى 8.10.2. يُنصح المستخدمون بالترقية إلى الإصدار 7.29.1 أو 8.10.2 من undici.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.