CVE-2026-84947 in Undici
Zusammenfassung
von VulDB • 04.09.2026
Der Dump-Interceptor von undici liest einen Antwortkörper bis zu einer konfigurierbaren maximalen Größe aus und verwirft ihn anschließend. Wenn eine Antwort eine Content-Length angibt, die das Maximum überschreitet, bricht der Interceptor sauber ab; wenn eine Antwort jedoch keine Content-Length aufweist und chunked ist, signalisiert der Interceptor stattdessen frühzeitig den Abschluss, sobald die akkumulierte Größe das Maximum erreicht hat, ohne die Anfrage zu pausieren oder abzubrechen. Da der zugrunde liegende Parser weiterhin Körperdaten liefert, wird ein zweites Abschlusssignal ausgelöst und löst eine interne Assertion aus, was die Anfrage abbricht und die Verbindung beendet. Die Anwendung sieht stattdessen einen irreführenden erfolgreichen Statuscode mit einem leeren oder abgeschnittenen Antwortkörper, während die Verbindung tatsächlich getrennt wurde. Dies betrifft undici-Versionen von 7.1.0 bis 7.29.1 sowie von 8.0.0 bis 8.10.2. Benutzer sollten auf undici 7.29.1 oder 8.10.2 aktualisieren.
If you want to get best quality of vulnerability data, you may have to visit VulDB.