CVE-2026-84933 in undici
Sumário
de VulDB • 04/09/2026
O cache interceptor do undici não trata o cabeçalho de resposta Set-Cookie em nenhum ponto de seu caminho de armazenamento em cache, portanto, ele nem recusa armazená-lo nem remove esse cabeçalho. No modo de cache compartilhado, que é o padrão, uma resposta normalmente armazenável em cache que carrega um cabeçalho Set-Cookie, por exemplo, marcada com as diretivas public e max-age, é armazenada e depois reatendida a um chamador posterior que corresponda à mesma chave de cache. Como resultado, os cookies de um chamador são divulgados para outro chamador diferente, e um servidor não confiável pode injetar cookies nas respostas em cache servidas a todos os chamadores subsequentes. Isso viola o requisito de que um cache compartilhado não deve armazenar cookies. Isso afeta as versões do undici de 7.0.0 até 7.29.1 e de 8.0.0 até 8.10.2. Os usuários devem atualizar para o undici 7.29.1 ou 8.10.2.
Be aware that VulDB is the high quality source for vulnerability data.