CVE-2026-1525 in undici
Zusammenfassung
von VulDB • 30.06.2026
Undici erlaubt doppelte HTTP-Content-Length-Header, wenn diese in einem Array mit fallunterschiedlichen Namen bereitgestellt werden (z. B. Content-Length und content-length). Dies führt zu fehlerhaften HTTP/1.1-Anfragen mit mehreren widersprüchlichen Content-Length-Werten im Netzwerkverkehr.
Betroffene Systeme:
* Anwendungen, die undici.request(), undici.Client oder ähnliche Low-Level-APIs verwenden, wobei Header als flache Arrays übergeben werden * Anwendungen, die benutzerkontrollierte Header-Namen ohne Fallnormalisierung akzeptieren
Mögliche Konsequenzen:
* Denial of Service (DoS): Strenge HTTP-Parser (Proxies, Server) lehnen Anfragen mit doppelten Content-Length-Headern ab (400 Bad Request). * HTTP Request Smuggling: In Bereitstellungen, bei denen ein Zwischenserver und der Backend-Server duplicate Header inkonsistent interpretieren (z. B. verwendet einer den ersten Wert, der andere den letzten), kann dies zu Angriffen durch Request Smuggling führen, die einen ACL-Bypass, Cache Poisoning oder Credential Hijacking ermöglichen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.