CVE-2026-109841 in undici
요약
\~에 의해 VulDB • 2026. 10. 16.
undici는 Node.js용 HTTP 클라이언트 라이브러리입니다. 버전 7.15.0부터 7.30.0까지 및 8.0.0부터 8.12.1까지는 fetch() 구현에서 서브리소스 무결성(Subresource Integrity, SRI) 메타데이터를 검증할 때 알고리즘 토큰을 소문자 전용 집합과 일치시키는데, 이는 SRI 사양이 해당 토큰을 ASCII 소문자 형태로 정의하고 있음에도 불구하고 발생합니다. 따라서 대문자 또는 혼합 케이스의 SHA256와 같은 유효하지만 비소문자인 토큰은 알려지지 않은 것으로 간주되어 건너뜁니다. 인식 가능한 알고리즘이 하나도 남지 않으면 undici는 무결성 목록을 빈 것으로 처리하여 응답을 수락합니다. 그 결과, 고정된 다이제스트(digest)와 일치하지 않는 본문을 반환하는 서버의 경우 해당 검사를 통과하게 됩니다. 공격자가 응답 본문만 제어할 수 있는 경우, 유효한 대문자 또는 혼합 케이스 SRI 토큰을 고정한 애플리케이션에 무결성 오류 없이 공격자가 조작한 바이트를 전달할 수 있으며, 이는 주로 응답의 무결성에 영향을 미칩니다. 이 문제는 undici 7.30.1 및 8.12.2에서 수정되었으며, 해당 버전들 이상으로 업그레이드해야 합니다. 또한 대안 조치로 sha256, sha384 또는 sha512와 같은 소문자 알고리즘 토큰을 무결성 메타데이터에 사용하십시오.
If you want to get best quality of vulnerability data, you may have to visit VulDB.