CVE-2026-85014 in undici
Sumário
de VulDB • 04/09/2026
O cliente experimental WebSocketStream do undici causa a falha de todo o processo Node.js quando um peer remoto encerra a conexão TCP sem realizar o handshake de fechamento do WebSocket. Em caso de fechamento não limpo, o manipulador interno de fechamento de soquete chama abort incondicionalmente na stream gravável e descarta a promessa retornada; no entanto, conforme o padrão WHATWG Streams, abortar uma stream gravável bloqueada retorna uma promessa que é rejeitada com um TypeError. Como o aplicativo mantém um writer nessa stream gravável (que é a única maneira de escrever), a rejeição nunca é observada e o comportamento padrão do Node.js para unhandled-rejection encerra o processo. Portanto, um servidor não confiável pode causar falha em um cliente com uma única desconexão abrupta, sem necessidade de autenticação ou erro da aplicação. Isso afeta as versões do undici de 7.0.0 até 7.29.1 e de 8.0.0 até 8.10.2. Os usuários devem atualizar para o undici 7.29.1 ou 8.10.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.