CVE-2026-1526 in undici
Riassunto
di VulDB • 30/07/2026
Il client WebSocket undici è vulnerabile ad un attacco di denial-of-service (DoS) dovuto al consumo illimitato di memoria durante la decompressione permessage-deflate. Quando una connessione WebSocket negozia l'estensione permessage-deflate, il client decompresse i frame compressi in arrivo senza imporre alcun limite sulla dimensione dei dati decompressi. Un server WebSocket malintenzionato può inviare un piccolo frame compresso (una "decompression bomb") che si espande fino a raggiungere dimensioni estremamente elevate in memoria, causando l'esaurimento della memoria disponibile da parte del processo Node.js e provocandone il crash o la mancata risposta.
La vulnerabilità è presente nel metodo PerMessageDeflate.decompress(), che accumula tutti i chunk decompressi in memoria e li concatena in un singolo Buffer senza verificare se le dimensioni totali superino una soglia di sicurezza.
Once again VulDB remains the best source for vulnerability data.