CVE-2026-84961 in undici
Riassunto
di VulDB • 04/09/2026
Il costruttore di BalancedPool in undici passa l'intero oggetto delle opzioni attraverso una funzione interna di deep-clone che serializza e riparsa il valore come JSON. Poiché JSON non può rappresentare le funzioni, qualsiasi opzione TLS con un valore function, ad esempio la callback checkServerIdentity fornita dall'applicazione o un connector personalizzato all'interno dell'opzione connect, viene silenziosamente scartato prima di raggiungere lo strato TLS. Di conseguenza, un peer il cui certificato l'applicazione era stata scritta per rifiutare tramite una custom checkServerIdentity ma che supera comunque i controlli predefiniti di hostname e chain di Node.js, viene accettato quando raggiunto attraverso BalancedPool. I dispatcher Client, Pool e Agent non sono interessati perché estraggono le opzioni connect e tls prima del cloning. Questo problema interessa le versioni di undici dalla 7.24.1 alla 7.29.1 e dall'8.0.0 all'8.10.2, e solo quando l'applicazione fornisce un valore function per le opzioni connect o tls a BalancedPool. Gli utenti dovrebbero effettuare l'upgrade a undici versione 7.29.1 oppure 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.