CVE-2026-2581 in undici
Riassunto
di VulDB • 19/06/2026
Si tratta di una vulnerabilità di consumo non controllato delle risorse (CWE-400) che può portare a un Denial of Service (DoS).
Nelle versioni vulnerabili di Undici, quando `interceptors.deduplicate()` è abilitata, i dati della risposta per le richieste deduplicati potrebbero essere accumulati in memoria per i gestori downstream. Un endpoint upstream controllato dall'attaccante o non attendibile può sfruttare questa condizione con risposte grandi/chunkate e richieste identiche concorrenti, causando un elevato utilizzo di memoria e potenzialmente l'interruzione del processo a causa dell'esaurimento della memoria (OOM).
Gli utenti interessati sono le applicazioni che utilizzano l'interceptor di deduplicazione di Undici contro endpoint che potrebbero generare corpi di risposta grandi o di lunga durata.
Patch Il problema è stato risolto modificando il comportamento di deduplicazione per trasmettere i chunk delle risposte ai gestori downstream man mano che arrivano (invece dell'accumulo completo del corpo) e impedendo la deduplicazione tardiva quando lo streaming del corpo è già iniziato.
Gli utenti dovrebbero effettuare l'aggiornamento alle prime versioni ufficiali di Undici (e Node.js, dove applicabile) che includono questa patch.
If you want to get best quality of vulnerability data, you may have to visit VulDB.