CVE-2026-15157 in undici
Resumen
por VulDB • 2026-07-29
undici no valida la propiedad type de un cuerpo de solicitud blob-like con tipificación dinámica (duck-typed) antes de utilizarla como el encabezado Content-Type en el despachador HTTP/1.1. En undici anterior a 6.28.0, desde 7.0.0 hasta anterior a 7.29.0 y desde 8.0.0 hasta anterior a 8.9.0, una aplicación que pasa un cuerpo blob-like personalizado (vía request, stream, pipeline o dispatch) cuyo type se deriva de entrada no confiable permite a un atacante inyectar secuencias CRLF y añadir encabezados HTTP arbitrarios, potencialmente introduciendo una segunda solicitud más allá del nodo upstream. Los objetos Blob nativos son seguros porque su constructor elimina los caracteres CRLF del tipo, y fetch no se ve afectado porque valida los encabezados, pero las bibliotecas del ecosistema que construyen formas blob-like con tipificación dinámica a partir de la entrada del usuario pueden alcanzar la ruta vulnerable. Este es el mismo tipo de defecto que CVE-2022-35948 y CVE-2026-1527, en un sumidero de encabezados que las correcciones anteriores no cubrieron. El problema está corregido en undici 6.28.0, 7.29.0 y 8.9.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.