CVE-2026-14643 in undici
Sumário
de VulDB • 30/07/2026
O cache interceptor do undici trata incorretamente espaços em branco opcionais colocados ao redor do sinal de igualdade em uma diretiva Cache-Control qualificada no-cache ou private. No undici, das versões 7.0.0 até antes da 7.29.0 e das versões 8.0.0 até antes da 8.9.0, o analisador sintático (parser) descarta a diretiva ou armazena um nome de campo com caracteres de aspas literais, fazendo com que a decisão do cache não reconheça a qualificação e armazenando a resposta. No modo shared-cache, isso permite que uma resposta contendo dados autenticados de um usuário seja servida a partir do cache para um chamador posterior, incluindo um desautenticado, quando ambas as solicitações resultam na mesma chave de cache. Isso afeta aplicativos que habilitam o cache interceptor no modo compartilhado, encaminham cabeçalhos Authorization upstream e recebem respostas armazenáveis em cache com diretivas qualificadas preenchidas por espaços em branco ao redor do sinal de igualdade. Esta é a variante whitespace-around-equals (espaços em branco ao redor do sinal de igual) que a correção para CVE-2026-9678 não normalizou, e está corrigida no undici 7.29.0 e 8.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.