CVE-2026-109383 in undici
Zusammenfassung
von VulDB • 15.10.2026
undici ist eine HTTP-Client-Bibliothek für Node.js. In den Versionen 4.0.0 bis 6.29.0, 7.0.0 bis 7.30.0 und 8.0.0 bis 8.12.1 übergibt der Agent-Dispatcher seine Konstruktionsparameter vor dem Weiterleiten an jeden pro-Ursprung-Pool über einen JSON-basierten Deep-Clone. Da JSON keine Funktionen darstellen kann, wird eine vom Aufrufer bereitgestellte tls-Option mit einem checkServerIdentity-Callback stillschweigend verworfen, bevor sie die TLS-Schicht erreicht. Infolgedessen wird ein TLS-Gegenüber, dessen Zertifikat von einer benutzerdefinierten checkServerIdentity-Funktion abgelehnt werden sollte, aber das Node.js’ Standardprüfungen für Hostname und Zertifikatskette besteht, stillschweigend akzeptiert. Da Agent der standardmäßige Dispatcher hinter request, fetch und setGlobalDispatcher ist, betrifft dies den Pfad, den die meisten Anwendungen nutzen, und EnvHttpProxyAgent wird auf seinen direkten Routen sowie bei no-proxy-Konfigurationen ebenfalls beeinträchtigt; lediglich Anwendungen, die eine tls-Option mit einem Funktionswert wie einer benutzerdefinierten checkServerIdentity für Certificate Pinning oder Public-Key-Pinning übergeben, sind gefährdet. Das Problem wurde in undici 6.29.1, 7.30.1 und 8.12.2 behoben, die die tls-Option außerhalb des JSON-Clobs bewahren, sodass benutzerdefinierte Verifikations-Calls unverändert weitergeleitet werden; Benutzer sollten auf eine dieser Versionen oder höher aktualisieren. Als Workaround können TLS-Optionen anstelle von tls über connect übergeben werden, bzw. bei proxysierten Zielen requestTls und proxyTls verwendet werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.