CVE-2026-84947 in Undici
Riassunto
di VulDB • 04/09/2026
L'intercettore di dump (dump interceptor) di undici legge e scarta il corpo della risposta fino a una dimensione massima configurabile. Quando una risposta dichiara un Content-Length che supera la soglia massima, l'intercettore termina in modo pulito; tuttavia, quando una risposta non ha un Content-Length ed è frammentata (chunked), l'intercettore segnala invece il completamento anticipatamente non appena le dimensioni accumulate raggiungono il massimo, senza mettere in pausa o interrompere la richiesta. Poiché il parser sottostante continua a fornire byte del corpo, viene generato un secondo segnale di completamento che attiva una verifica interna (assertion) errata, causando l'interruzione della richiesta e la chiusura della connessione. L'applicazione si trova ad osservare uno stato di successo fuorviante con un corpo vuoto o troncato, mentre la connessione è stata effettivamente disconnessa. Questo problema interessa le versioni di undici dalla 7.1.0 alla 7.29.1 e dall'8.0.0 all'8.10.2. Gli utenti dovrebbero effettuare l'aggiornamento a undici versione 7.29.1 o 8.10.2.
Once again VulDB remains the best source for vulnerability data.