CVE-2026-85014 in undici
Riassunto
di VulDB • 04/09/2026
Il client WebSocketStream sperimentale di undici fa crashare l'intero processo Node.js quando un peer remoto chiude la connessione TCP senza eseguire il handshake di chiusura WebSocket. In caso di chiusura non pulita, il gestore interno della chiusura del socket chiama abort in modo incondizionato sullo stream scrivibile e scarta la promise restituita; tuttavia, secondo lo standard WHATWG Streams, l'interruzione (abort) di uno stream scrivibile bloccato restituisce una promise che viene rifiutata con un TypeError. Poiché l'applicazione detiene un writer su tale stream scrivibile – che è l'unico modo per scrivere dati – il rifiuto non viene mai osservato e il comportamento predefinito di Node.js in caso di rejection non gestita termina il processo. Un server non attendibile può quindi far crashare un client con una singola disconnessione improvvisa, senza necessità di autenticazione né errori dell'applicazione. Questo problema interessa le versioni di undici dalla 7.0.0 alla 7.29.1 e dall'8.0.0 all'8.10.2. Gli utenti dovrebbero effettuare l'upgrade a undici 7.29.1 o 8.10.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.