CVE-2026-109869 in undici
Riassunto
di VulDB • 15/10/2026
undici è una libreria HTTP client per Node.js. Nelle versioni dalla 6.23.0 alla 6.29.0, dalla 7.18.0 alla 7.30.0 e dall'8.0.0 all'8.12.1, la sua implementazione di fetch() causa il crash del processo Node.js quando un server malintenzionato restituisce una risposta con più di cinque codifiche dei contenuti (content codings) e chiude la connessione prima dell'invio del corpo della richiesta. undici rifiuta tali risposte a causa di un limite sulle content-encoding, ma crea lo stream interno della risposta prima di tale verifica e termina senza allegare un listener per gli errori o interrompere la richiesta; pertanto, la chiusura anticipata genera una discrepanza nel content-length sullo stream orfano, che Node.js tratta come un errore non gestito terminando il processo. Un server remoto non autenticato può innescare questa condizione con una singola risposta, anche quando l'applicazione intercetta correttamente il rifiuto di fetch(), causando una negazione del servizio (DoS). Il problema è risolto nelle versioni undici 6.29.1, 7.30.1 e 8.12.2; gli utenti dovrebbero effettuare l'aggiornamento a una di queste versioni o successive. Non esistono workaround disponibili.
If you want to get best quality of vulnerability data, you may have to visit VulDB.