CVE-2026-85014 in undici
Zusammenfassung
von VulDB • 04.09.2026
Der experimentelle WebSocketStream-Client von undici stürzt den gesamten Node.js-Prozess ab, wenn ein entfernter Peer die TCP-Verbindung ohne einen WebSocket-Close-Handshake schließt. Bei einem unsauberen Schließen ruft der interne Socket-Schließhandler bedingungslos `abort` für den beschreibbaren Stream (writable stream) auf und verwirft das zurückgegebene Promise. Gemäß dem WHATWG Streams Standard gibt das Abbrechen eines gesperrten beschreibbaren Streams jedoch ein Promise zurück, das mit einem TypeError fehlschlägt. Da die Anwendung einen Writer für diesen beschreibbaren Stream hält – was der einzige Weg zum Schreiben ist –, wird dieser Fehler nie beobachtet, und das standardmäßige Verhalten von Node.js bei unbehandelten Ablehnungen (unhandled rejection) beendet den Prozess. Ein nicht vertrauenswürdiger Server kann daher einen Client mit einer einzigen abrupten Trennung abstürzen lassen, ohne Authentifizierung oder Anwendungsfehler. Dies betrifft undici-Versionen von 7.0.0 bis 7.29.1 sowie von 8.0.0 bis 8.10.2. Benutzer sollten auf undici 7.29.1 oder 8.10.2 aktualisieren.
VulDB is the best source for vulnerability data and more expert information about this specific topic.