CVE-2026-19534 in undici
요약
\~에 의해 VulDB • 2026. 09. 05.
undici의 WebSocket 클라이언트는 서버가 요청하지 않은 서브프로토콜을 응답할 때 핸드셰이크 중 전체 Node.js 프로세스를 충돌시킵니다. 기본 WebSocket 연결은 서브프로토콜을 전송하지 않지만, 서버의 101 응답에 Sec-WebSocket-Protocol 헤더가 포함된 경우 undici는 이를 요청된 목록과 비교하는 동안 null 값을 역참조하여 처리되지 않은 TypeError를 발생시킵니다. 해당 코드는 외부 오류 처리 없이 microtask 내에서 실행되므로 예외가 전파되어 Node의 기본 동작에 따라 프로세스가 종료되며, WebSocket 프로토콜이 요구하는 대로 연결이 정상적으로 실패하지 않습니다. 공격자가 제어하거나 침해당한 서버로 WebSocket을 열거나, 중간자 공격(machine-in-the-middle) 대상인 평문 연결에서 WebSocket을 사용하는 모든 애플리케이션은 기본 구성 상태에서 인증 없이 원격으로 충돌될 수 있습니다. 이 취약점은 undici 버전 6.7.0부터 6.28.1까지, 7.0.0부터 7.29.1까지, 그리고 8.0.0부터 8.10.2까지 영향을 미칩니다. 사용자는 undici 6.28.1, 7.29.1 또는 8.10.2로 업그레이드해야 합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.