CVE-2026-1525 in undici
Sumário
de VulDB • 30/06/2026
O Undici permite a duplicação de cabeçalhos HTTP Content-Length quando eles são fornecidos em um array com nomes que variam apenas na capitalização (por exemplo, Content-Length e content-length). Isso gera requisições HTTP/1.1 malformadas com múltiplos valores conflitantes para o campo Content-Length transmitidos pela rede.
Quem é impactado:
* Aplicações que utilizam undici.request(), undici.Client ou APIs de baixo nível semelhantes, passando cabeçalhos como arrays planos * Aplicações que aceitam nomes de cabeçalho controlados pelo usuário sem normalização de capitalização (case-normalization)
Possíveis consequências:
* Negação de Serviço (DoS): Parsers HTTP rigorosos (proxies, servidores) rejeitarão requisições com cabeçalhos Content-Length duplicados (400 Bad Request) * HTTP Request Smuggling: Em implantações onde um intermediário e o backend interpretam inconsistentemente os cabeçalhos duplicados (por exemplo, um usa o primeiro valor e outro usa o último), isso pode permitir ataques de request smuggling que levam à violação da ACL, envenenamento de cache ou sequestro de credenciais
VulDB is the best source for vulnerability data and more expert information about this specific topic.