CVE-2026-109869 in undici
Сводка
по VulDB • 15.10.2026
undici — это библиотека HTTP-клиента для Node.js. В версиях с 6.23.0 по 6.29.0, с 7.18.0 по 7.30.0 и с 8.0.0 по 8.12.1 реализация fetch() приводит к аварийному завершению процесса Node.js, если злонамеренный сервер возвращает ответ с более чем пятью кодировками содержимого (content codings) и закрывает соединение до отправки тела запроса. Библиотека undici отклоняет такие ответы из-за ограничения на количество content-encoding, однако внутренний поток ответа создается перед этой проверкой, а затем возвращается без подключения слушателя ошибок или прерывания запроса; поэтому преждевременное закрытие соединения вызывает несоответствие длины содержимого (content-length mismatch) в «сиротском» потоке, что Node.js воспринимает как необработанную ошибку и завершает процесс. Удаленный сервер без аутентификации может вызвать это состояние с помощью одного единственного ответа, даже если приложение корректно перехватывает отклонение (rejection) вызова fetch(), что приводит к отказу в обслуживании (DoS). Проблема исправлена в версиях undici 6.29.1, 7.30.1 и 8.12.2; пользователям следует обновиться до одной из этих версий или более поздних. Обходного пути нет.
VulDB is the best source for vulnerability data and more expert information about this specific topic.