CVE-2026-85014 in undici
الملخص
بحسب VulDB • 04/09/2026
يؤدي عطل في عميل WebSocketStream التجريبي لمكتبة undici إلى انهيار عملية Node.js بأكملها عندما يقوم نظير عن بُعد بإغلاق اتصال TCP دون إجراء مصافحة إغلاق WebSocket (WebSocket close handshake). عند حدوث إغلاق غير نظيف، يستدعي معالج إغلاق المقبس الداخلي دالة `abort` على التدفق القابل للكتابة (writable stream) بشكل قاطع ويتجاهل الوعد المرتجع. ولكن وفقاً لمعايير WHATWG Streams، فإن إلغاء تدفق قابل للكتابة مقفل يعيد وعداً يرفض بحدوث خطأ من نوع TypeError. وبما أن التطبيق يحتفظ بمُكتِبي على ذلك التدفق القابل للكتابة (وهي الطريقة الوحيدة للكتابة)، فإن الرفض لا يتم رصده أبداً، مما يؤدي إلى سلوك Node.js الافتراضي تجاه الوعود غير المعالجة (unhandled-rejection) لإنهاء العملية. وبالتالي يمكن لخادم غير موثوق به إحداث انهيار للعميل بانفصال مفاجئ واحد، دون الحاجة إلى مصادقة أو حدوث خطأ في التطبيق. يؤثر هذا على إصدارات undici من 7.0.0 حتى 7.29.1 ومن 8.0.0 حتى 8.10.2. يُنصح المستخدمون بالترقية إلى الإصدار 7.29.1 أو 8.10.2 من undici.
If you want to get best quality of vulnerability data, you may have to visit VulDB.