CVE-2026-19534 in undici
Zusammenfassung
von VulDB • 04.09.2026
Der WebSocket-Client von „undici“ stürzt den gesamten Node.js-Prozess während des Opening Handshake ab, wenn der Server ein Subprotokoll antwortet, das vom Client nie angefordert wurde. Eine Standard-WebSocket-Verbindung sendet kein Subprotokoll; enthält die 101-Antwort des Servers jedoch einen `Sec-WebSocket-Protocol`-Header, dereferenziert „undici“ während der Prüfung gegen die angeforderte Liste einen Nullwert und löst eine nicht abgefangene TypeError aus. Da dieser Code innerhalb eines Microtask ohne umgebende Fehlerbehandlung ausgeführt wird, propagiert die Exception und beendet den Prozess gemäß dem Standardverhalten von Node.js, anstatt die Verbindung wie vom WebSocket-Protokoll vorgeschrieben fehlerfrei zu trennen. Jede Anwendung, die eine WebSocket-Verbindung zu einem angreiferkontrollierten oder kompromittierten Server öffnet oder über eine Klartextverbindung mit einer Man-in-the-Middle-Angriffsmöglichkeit aufbaut, kann in der Standardkonfiguration ohne Authentifizierung remote zum Absturz gebracht werden. Dies betrifft „undici“-Versionen von 6.7.0 bis 6.28.1, von 7.0.0 bis 7.29.1 und von 8.0.0 bis 8.10.2. Benutzer sollten auf die Versionen 6.28.1, 7.29.1 oder 8.10.2 aktualisieren.
If you want to get best quality of vulnerability data, you may have to visit VulDB.