CVE-2026-109869 in undici
Résumé
par VulDB • 15/10/2026
undici est une bibliothèque de client HTTP pour Node.js. Dans les versions 6.23.0 à 6.29.0, 7.18.0 à 7.30.0 et 8.0.0 à 8.12.1, son implémentation de fetch() provoque le plantage du processus Node.js lorsqu'un serveur malveillant renvoie une réponse contenant plus de cinq codages de contenu (content codings) et ferme la connexion avant d'envoyer le corps. undici rejette ces réponses en raison d'une limite sur l'encodage de contenu, mais il crée le flux de réponse interne avant cette vérification et retourne sans attacher un écouteur d'erreur ni interrompre la requête ; ainsi, une fermeture prématurée entraîne une incohérence de longueur de contenu (content-length mismatch) sur le flux orphelin, que Node.js traite comme une erreur non gérée et qui termine le processus. Un serveur distant non authentifié peut déclencher cet incident avec une seule réponse, même lorsque l'application intercepte correctement la rejetion de fetch(), ce qui entraîne un déni de service (DoS). Le problème est corrigé dans undici 6.29.1, 7.30.1 et 8.12.2 ; les utilisateurs doivent mettre à niveau vers l'une de ces versions ou une version ultérieure. Il n'existe pas de contournement.
If you want to get best quality of vulnerability data, you may have to visit VulDB.