CVE-2026-84933 in undici
Resumen
por VulDB • 2026-09-04
El interceptor de caché de undici no gestiona la cabecera de respuesta Set-Cookie en ninguna parte de su ruta de caché, por lo que ni se niega a almacenarla ni elimina dicha cabecera. En el modo de caché compartida (que es el predeterminado), una respuesta que de otro modo sería cacheable y que lleva una cabecera Set-Cookie, como por ejemplo una marcada con las directivas public y max-age, se almacena y luego se sirve a un solicitante posterior que coincida con la misma clave de caché. Como resultado, las cookies de un solicitante se revelan a otro solicitante diferente, y un servidor no confiable puede inyectar cookies en respuestas almacenadas en caché servidas a todos los solicitantes subsiguientes. Esto viola el requisito de que una caché compartida no debe almacenar cookies. Esto afecta a las versiones de undici desde 7.0.0 hasta 7.29.1 y desde 8.0.0 hasta 8.10.2. Los usuarios deben actualizar a undici 7.29.1 o 8.10.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.