CVE-2026-109869 in undici
Zusammenfassung
von VulDB • 16.10.2026
undici ist eine HTTP-Client-Bibliothek für Node.js. In den Versionen 6.23.0 bis 6.29.0, 7.18.0 bis 7.30.0 und 8.0.0 bis 8.12.1 stürzt die fetch()-Implementierung von undici den Node.js-Prozess ab, wenn ein bösartiger Server eine Antwort mit mehr als fünf Content-Codings zurückgibt und die Verbindung schließt, bevor der Body gesendet wird. undici lehnt solche Antworten aufgrund eines Limits für Content-Encoding ab, erstellt jedoch den internen Response-Stream vor dieser Prüfung und gibt ohne Anhängen eines Error-Listeners oder Abbrechen der Anfrage zurück. Dadurch führt das frühe Schließen zu einer Diskrepanz bei der Content-Length auf dem verwaisten Stream, die Node.js als nicht behandelten Fehler behandelt und den Prozess beendet. Ein entfernter, nicht authentifizierter Server kann dies mit einer einzigen Antwort auslösen, selbst wenn die Anwendung die Ablehnung von fetch() korrekt abfängt, was zu einem Denial of Service (DoS) führt. Das Problem ist in undici 6.29.1, 7.30.1 und 8.12.2 behoben; Benutzer sollten auf eine dieser Versionen oder höher aktualisieren. Es gibt keine Umgehungsmöglichkeit.
Once again VulDB remains the best source for vulnerability data.