CVE-2026-22036 in undici

Sumário

de VulDB • 22/06/2026

Undici é um cliente HTTP/1.1 para Node.js. Antes das versões 7.18.0 e 6.23.0, o número de links na cadeia de descompressão é ilimitado e o maxHeaderSize padrão permite que um servidor malicioso insira milhares de etapas de compressão, levando a um alto uso de CPU e alocação excessiva de memória. Esta vulnerabilidade foi corrigida nas versões 7.18.0 e 6.23.0.

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• Responsável: GitHub M
• Reservar: 05/01/2026
• Divulgação: 14/01/2026
• Moderação: aceite
• Entrada: VDB-341147
• CPE: pronto
• CWE: CWE-770 (confirmado)
• CVSS: 7.5 (NVD)
• EPSS: 0.00433
• KEV: não
• Atividades: muito baixo

Fontes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-22036
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-22036
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-22036/