CVE-2026-85014 in undici
Resumen
por VulDB • 2026-09-04
El cliente experimental WebSocketStream de undici provoca el cierre abrupto del proceso completo de Node.js cuando un peer remoto cierra la conexión TCP sin realizar el handshake de cierre de WebSocket. En caso de un cierre no limpio, el controlador interno de cierre de socket llama a `abort` en el stream escribible (writable) de forma incondicional y descarta la promesa devuelta; sin embargo, según el estándar WHATWG Streams, abortar un writable bloqueado devuelve una promesa que se rechaza con un TypeError. Dado que la aplicación mantiene un writer sobre ese writable, que es la única manera de escribir, dicha excepción nunca se observa y el comportamiento predeterminado de Node.js para excepciones no manejadas (unhandled-rejection) termina el proceso. Por lo tanto, un servidor no confiable puede hacer crash a un cliente con una sola desconexión abrupta, sin necesidad de autenticación ni errores en la aplicación. Esto afecta a las versiones de undici desde 7.0.0 hasta 7.29.1 y desde 8.0.0 hasta 8.10.2. Los usuarios deben actualizar a undici 7.29.1 o 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.