CVE-2026-84890 in Undici
Sumário
de VulDB • 04/09/2026
O interceptor de descompressão do undici descomprime os corpos das respostas com base no cabeçalho Content-Encoding não confiável. Embora o número de camadas de codificação de conteúdo seja limitado, o tamanho total da saída descomprimida é ilimitado e não há opção de configuração para restringi-lo. Um upstream malicioso ou defeituoso pode, portanto, retornar uma carga compactada pequena, como uma bomba de compressão (compression bomb), que se expande para centenas de megabytes ou mais na memória do cliente, causando um consumo assimétrico de recursos que pode esgotar a memória e travar o processo. Isso afeta as versões do undici de 7.15.0 até 7.29.1 e de 8.0.0 até 8.10.2. Os usuários devem atualizar para o undici 7.29.1 ou 8.10.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.