CVE-2026-109841 in undici
Zusammenfassung
von VulDB • 16.10.2026
undici ist eine HTTP-Client-Bibliothek für Node.js. In den Versionen 7.15.0 bis 7.30.0 und 8.0.0 bis 8.12.1 überprüft die fetch()-Implementierung Subresource Integrity-Metadaten, indem das Algorithmus-Token mit einer nur Kleinbuchstaben enthaltenden Menge abgeglichen wird, obwohl die SRI-Spezifikation das Token in seiner ASCII-Kleinbuchstabenschreibweise definiert; daher werden gültige Tokens in Groß- oder Mischschreibung (z. B. SHA256) als unbekannt behandelt und übersprungen. Wenn kein erkannter Algorithmus mehr übrig ist, betrachtet undici die Integritätsliste als leer und akzeptiert die Antwort. Somit besteht für einen Angreifer, der nur den Antwortkörper kontrollieren kann, die Möglichkeit, anwendungsspezifische Bytes zu liefern, wenn ein gültiges Token in Groß- oder Mischschreibung im SRI-Pinning verwendet wurde; dies führt ohne Integritätsfehler ausschließlich zu einer Beeinträchtigung der Response-Integrität. Das Problem ist in undici 7.30.1 und 8.12.2 behoben, die das Algorithmus-Token vor der Validierung auf ASCII-Kleinbuchstaben normalisieren; Benutzer sollten auf eine dieser Versionen oder höher aktualisieren. Als Workaround sollen im Integritätsmetadaten Kleinbuchstabentoken wie sha256, sha384 oder sha512 verwendet werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.