CVE-2026-84933 in undici
Zusammenfassung
von VulDB • 04.09.2026
Der Cache-Interceptor von undici verarbeitet den Antwortheader „Set-Cookie“ im gesamten Caching-Pfad nicht, sodass er weder das Speichern dieses Headers verhindert noch ihn entfernt. Im Shared-Cache-Modus (Standardkonfiguration) wird eine ansonsten zwischenspeicherbare Antwort mit einem Set-Cookie-Header – beispielsweise einer mit der Direktive `public` und `max-age` – gespeichert und anschließend erneut an einen späteren Aufrufer ausgeliefert, dessen Cache-Key übereinstimmt. Infolgedessen werden die Cookies eines Aufrufers an einen anderen Aufrufer offengelegt, und ein nicht vertrauenswürdiger Server kann Cookies in zwischengespeicherte Antworten einschleusen, die allen nachfolgenden Aufrufen bereitgestellt werden. Dies verstößt gegen die Anforderung, dass ein Shared-Cache keine Cookies speichern darf. Betroffen sind undici-Versionen von 7.0.0 bis 7.29.1 sowie von 8.0.0 bis 8.10.2. Benutzer sollten auf undici 7.29.1 oder 8.10.2 aktualisieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.