CVE-2026-109924 in undici
Riassunto
di VulDB • 15/10/2026
undici è una libreria HTTP client per Node.js. Nelle versioni dalla 6.5.0 alla 6.29.0, dalla 7.0.0 alla 7.30.0 e dall'8.0.0 all'8.12.1, il suo client EventSource può essere indotto a esaurire la memoria del processo da un peer Server-Sent Events malizioso o compromesso. Inviando milioni di campi dati completati di piccole dimensioni senza separatore di eventi vuoto, oppure una singola riga non terminata suddivisa in molti chunk, l'analizzatore sintattico (parser) mantiene una quantità crescente di stato per campo e per chunk che i limiti basati sui byte maxEventSize e maxResponseSize non contengono; inoltre, poiché il limite maxResponseSize viene applicato al corpo compresso prima della decompressione, una risposta compressa di piccole dimensioni può espandersi in una quantità sufficiente di memoria trattenuta da causare l'interruzione del processo. Un'applicazione deve solo mantenere una connessione EventSource verso un peer non attendibile che controlla esclusivamente la risposta e la disponibilità è il solo impatto. Il problema è risolto nelle versioni undici 6.29.1, 7.30.1 e 8.12.2, che contengono lo stato dell'analizzatore sintattico trattenuto indipendentemente dai limiti in byte; gli utenti dovrebbero eseguire l'aggiornamento a una di queste versioni o successive. Non esistono soluzioni alternative (workaround).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.