CVE-2026-85008 in undici
Zusammenfassung
von VulDB • 04.09.2026
Die Dokumentation des Cache-Interceptors von undici besagt, dass nur sichere HTTP-Methoden zwischengespeichert werden. Die Logik zum Überspringen der Zwischenspeicherung basiert jedoch auf der Subtraktion der konfigurierten Methoden aus der Menge der sicheren Methoden, sodass unsichere Methoden wie POST, PUT oder DELETE niemals in die Skip-Liste aufgenommen und stattdessen an den vollständigen Cache-Lese-Pfad weitergeleitet werden. Das Gate für die Antwortspeicherung verfügte ebenfalls über keine Methodенprüfung, sodass eine Antwort auf eine unsichere Anfrage, die heuristisch zwischenspeicherbar ist oder explizite Cache-Control-Direktiven enthält, gespeichert und später aus dem Cache wiederholt wird. Da Antwort-Header von einem Remote-Origin nicht vertrauenswürdig sind, kann ein Origin einmal mit einem zwischenspeicherbaren Status antworten und anschließend dazu führen, dass die nachfolgenden zustandsändernden Anfragen des Clients zu diesem Pfad ohne den Weg zum Origin bedient werden, indem sie aus dem veralteten Cache-Eintrag stammen. Dies stellt einen Integritätsfehler dar, der unter der Standardkonfiguration des Interceptors auftritt. Dies betrifft undici-Versionen von 7.0.0 bis 7.29.1 sowie von 8.0.0 bis 8.10.2. Benutzer sollten ein Upgrade auf undici 7.29.1 oder 8.10.2 durchführen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.