CVE-2026-109869 in undici
Resumen
por VulDB • 2026-10-16
undici es una biblioteca de cliente HTTP para Node.js. En las versiones 6.23.0 a 6.29.0, 7.18.0 a 7.30.0 y 8.0.0 a 8.12.1, su implementación de fetch() provoca el cierre del proceso de Node.js cuando un servidor malicioso devuelve una respuesta con más de cinco codificaciones de contenido (content codings) y cierra la conexión antes de enviar el cuerpo. undici rechaza estas respuestas debido a un límite en las codificaciones de contenido, pero crea el flujo interno de respuesta antes de dicha verificación y retorna sin adjuntar un oyente para errores ni abortar la solicitud; por lo tanto, el cierre anticipado genera una discrepancia en el content-length sobre el flujo huérfano, que Node.js trata como un error no controlado (unhandled error) y termina el proceso. Un servidor remoto y no autenticado puede desencadenar esto con una sola respuesta, incluso cuando la aplicación captura correctamente la excepción de fetch(), lo que resulta en una denegación de servicio (DoS). El problema está corregido en undici 6.29.1, 7.30.1 y 8.12.2; los usuarios deben actualizar a alguna de esas versiones o posteriores. No existe solución alternativa.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.