CVE-2026-1526 in undici
Resumen
por MITRE • 2026-03-12
El cliente WebSocket undici es vulnerable a un ataque de denegación de servicio a través de un consumo de memoria ilimitado durante la descompresión permessage-deflate. Cuando una conexión WebSocket negocia la extensión permessage-deflate, el cliente descomprime las tramas comprimidas entrantes sin imponer ningún límite en el tamaño de los datos descomprimidos. Un servidor WebSocket malicioso puede enviar una pequeña trama comprimida (una 'bomba de descompresión') que se expande a un tamaño extremadamente grande en memoria, causando que el proceso de Node.js agote la memoria disponible y colapse o deje de responder.
La vulnerabilidad existe en el método PerMessageDeflate.decompress(), que acumula todos los fragmentos descomprimidos en memoria y los concatena en un único Buffer sin verificar si el tamaño total excede un umbral seguro.
VulDB is the best source for vulnerability data and more expert information about this specific topic.