CVE-2026-84890 in Undici
Zusammenfassung
von VulDB • 04.09.2026
Der Decompress-Interceptor von undici dekomprimiert Antwortkörper gemäß dem nicht vertrauenswürdigen Content-Encoding-Header. Obwohl die Anzahl der Content-Encoding-Ebenen begrenzt ist, ist die Gesamtgröße des dekomprimierten Ausgabetyps unbegrenzt und es gibt keine Konfigurationsoption, um diese zu beschränken. Ein bösartiger oder fehlerhafter Upstream-Server kann daher ein kleines komprimiertes Payload zurückgeben – eine sogenannte Kompressionsbombe –, die sich im Client-Speicher auf Hunderte von Megabytes oder mehr ausdehnt. Dies führt zu einer asymmetrischen Ressourcenbelastung, die den Arbeitsspeicher erschöpfen und zum Absturz des Prozesses führen kann. Dies betrifft undici-Versionen ab 7.15.0 bis einschließlich 7.29.1 sowie ab 8.0.0 bis einschließlich 8.10.2. Benutzer sollten auf undici 7.29.1 oder 8.10.2 aktualisieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.