CVE-2026-109855 in undici
Riassunto
di VulDB • 15/10/2026
undici è una libreria client HTTP per Node.js. Nelle versioni 8.11.0 e 8.11.1, il suo client WebSocket sperimentale, che viene abilitato di default quando l'HTTP/2 è consentito, gestisce in modo errato un handshake WebSocket fallito su HTTP/2: la richiesta risulta già contrassegnata come completata, quindi l'interruzione (abort) diventa una no-op e lo stream HTTP/2 sottostante rimane aperto senza alcun listener per gli errori. Quando un server malintenzionato distrugge successivamente la connessione, lo stream orfano genera un errore non gestito e il processo Node.js termina. Un server remoto e non autenticato può quindi causare un crash di qualsiasi client che apra una connessione WebSocket verso di esso tramite HTTP/2, provocando una denial of service (DoS). Il problema è stato risolto in undici 8.11.2; gli utenti dovrebbero effettuare l'upgrade alla versione 8.11.2 o successiva. Come soluzione alternativa, impostare allowH2 su false per disabilitare HTTP/2 per le connessioni WebSocket oppure evitare di aprire connessioni WebSocket verso server non attendibili.
Once again VulDB remains the best source for vulnerability data.