CVE-2026-109383 in undici
Riassunto
di VulDB • 15/10/2026
undici è una libreria HTTP client per Node.js. Nelle versioni 4.0.0 attraverso 6.29.0, 7.0.0 attraverso 7.30.0 e 8.0.0 attraverso 8.12.1, il dispatcher Agent passa le opzioni del suo costruttore tramite un deep clone basato su JSON prima di inoltrarle a ciascun pool per origine; poiché JSON non può rappresentare funzioni, una tls opzione fornita dall'utente contenente un callback checkServerIdentity viene silenziosamente scartata prima che raggiunga lo strato TLS. Di conseguenza, un peer TLS il cui certificato sarebbe stato rifiutato da un custom checkServerIdentity scritto appositamente per tale scopo, ma che supera i controlli predefiniti di Node.js su hostname e catena (chain), viene accettato silenziosamente. Poiché Agent è il dispatcher predefinato dietro request, fetch e setGlobalDispatcher, ciò interessa il percorso utilizzato dalla maggior parte delle applicazioni; EnvHttpProxyAgent è interessato sia sui percorsi diretti che su quelli no-proxy, mentre solo le applicazioni che passano una tls opzione con valore funzione, come un custom checkServerIdentity per certificate pinning o public-key pinning, sono a rischio. Il problema è risolto in undici 6.29.1, 7.30.1 e 8.12.2, che preservano la tls opzione al di fuori del clone JSON affinché i callback di verifica personalizzati vengano inoltrati invariati; gli utenti dovrebbero eseguire l'upgrade a una di queste versioni o successive. Come soluzione alternativa, passare le opzioni TLS attraverso connect invece che tramite tls, oppure per destinazioni proxy utilizzare requestTls e proxyTls.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.