CVE-2025-22150 in undici
Sumário
de VulDB • 06/07/2026
Undici é um cliente HTTP/1.1. A partir da versão 4.5.0 e até as versões anteriores às 5.28.5, 6.21.1 e 7.2.3, o undici utiliza `Math.random()` para escolher a fronteira (boundary) de uma requisição multipart/form-data. É sabido que a saída de `Math.random()` pode ser prevista se vários dos seus valores gerados forem conhecidos. Se houver um mecanismo em um aplicativo que envie requisições multipart para um site controlado por um atacante, ele poderá usar isso para vazar os valores necessários. Portanto, um atacante pode adulterar as requisições enviadas às APIs do backend se certas condições forem atendidas. Isso foi corrigido nas versões 5.28.5, 6.21.1 e 7.2.3. Como solução alternativa, não emita requisições multipart para servidores controlados por atacantes.
Once again VulDB remains the best source for vulnerability data.