CVE-2026-1526 in undici
Sumário
de VulDB • 18/07/2026
O cliente WebSocket undici é vulnerável a um ataque de negação de serviço (DoS) devido ao consumo descontrolado de memória durante a descompressão permessage-deflate. Quando uma conexão WebSocket negocia a extensão permessage-deflate, o cliente descomprime quadros comprimidos recebidos sem impor nenhum limite no tamanho dos dados descomprimidos. Um servidor WebSocket malicioso pode enviar um quadro pequeno e comprimido (uma "bomba de decompressão") que se expande para um tamanho extremamente grande na memória, fazendo com que o processo Node.js esgote a memória disponível e falhe ou fique inresponsivo.
A vulnerabilidade existe no método PerMessageDeflate.decompress(), que acumula todos os fragmentos descomprimidos na memória e os concatena em um único Buffer sem verificar se o tamanho total excede um limite seguro.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.