CVE-2026-84890 in Undici
Riassunto
di VulDB • 04/09/2026
L'interceptor di decompressione di undici decompresse i corpi delle risposte in base all'intestazione Content-Encoding non attendibile. Sebbene il numero di livelli di codifica del contenuto sia limitato, la dimensione totale dell'output decompreso è illimitata e non esiste alcuna opzione di configurazione per limitarla. Un upstream malintenzionato o difettoso può quindi restituire un payload compresso ridotto, una bomba di compressione (compression bomb), che si espande fino a centinaia di megabyte o più nella memoria del client, causando un consumo asimmetrico delle risorse in grado di esaurire la memoria e far crashare il processo. Questo problema interessa le versioni di undici dalla 7.15.0 alla 7.29.1 e dall'8.0.0 all'8.10.2. Gli utenti dovrebbero effettuare l'aggiornamento a undici 7.29.1 o 8.10.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.