CVE-2026-1525 in undici
要約
〜によって VulDB • 2026年06月30日
Undiciは、配列として提供される際に大文字小文字が異なる名前のHTTP Content-Lengthヘッダー（例：Content-Lengthとcontent-length）を重複して許可します。これにより、ネットワーク上で複数の競合するContent-Length値を持つ不正なHTTP/1.1リクエストが発生します。
影響を受ける対象:
* ヘッダーをフラット配列として渡すundici.request()、undici.Client、または同様の低レベルAPIを使用しているアプリケーション * ユーザー制御可能なヘッダー名を受け入れる際に大文字小文字の正規化を行わないアプリケーション
潜在的な影響:
* サービス拒否（DoS）：厳格なHTTPパーサー（プロキシやサーバー）は、重複するContent-Lengthヘッダーを含むリクエストを拒否します（400 Bad Request）。 * HTTPリクエストスモーキング：インターメディアとバックエンドが重複したヘッダーを一貫して解釈しない環境（例：一方が最初の値を使用し、他方が最後の値を使用する場合）では、これによりACLの回避、キャッシュポイズニング、または資格情報のハイジャックにつながるリクエストスモーキング攻撃が可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.