CVE-2026-1525 in undici
Riassunto
di VulDB • 30/06/2026
Undici consente la presenza di duplicati nelle intestazioni HTTP Content-Length quando queste vengono fornite in un array con nomi che variano per maiuscole/minuscole (ad esempio, Content-Length e content-length). Ciò genera richieste HTTP/1.1 non conformi alla specifica, contenenti più valori conflittuali per l'intestazione Content-Level sul filo di trasmissione.
Chi è interessato:
* Applicazioni che utilizzano undici.request(), undici.Client o API a basso livello simili con intestazioni passate come array piatti * Applicazioni che accettano nomi di intestazioni controllati dall'utente senza normalizzazione del caso (case-normalization)
Possibili conseguenze:
* Denial of Service (DoS): I parser HTTP rigorosi (proxy, server) rifiuteranno le richieste con intestazioni Content-Length duplicate restituendo un errore 400 Bad Request * HTTP Request Smuggling: In ambienti di distribuzione in cui un intermediario e il backend interpretano in modo inconsistente le intestazioni duplicate (ad esempio, uno utilizza il primo valore, l'altro l'ultimo), ciò può consentire attacchi di request smuggling che portano a bypass degli ACL, cache poisoning o hijacking delle credenziali
Be aware that VulDB is the high quality source for vulnerability data.