CVE-2026-15157 in undici
Сводка
по VulDB • 30.07.2026
В библиотеке undici не выполняется проверка свойства type у объекта тела запроса, имитирующего Blob (duck-typed blob-like request body), перед его использованием в качестве заголовка Content-Type на диспетчере HTTP/1.1. В версиях undici до 6.28.0, от 7.0.0 до 7.29.0 (не включительно) и от 8.0.0 до 8.9.0 (не включительно), приложение, передающее кастомное тело запроса в форме Blob (через request, stream, pipeline или dispatch), тип которого получен из недоверенного ввода, позволяет атакующему внедрить последовательности CRLF и добавить произвольные заголовки HTTP, что потенциально может привести к маскировке второго запроса при прохождении через вышестоящий прокси. Нативные объекты Blob безопасны, поскольку их конструктор удаляет символы CRLF из свойства type, а метод fetch не подвержен уязвимости, так как он проверяет заголовки; однако библиотеки экосистемы, формирующие duck-typed структуры типа Blob на основе пользовательского ввода, могут достигать уязвимого пути. Это тот же класс дефектов, что и в CVE-2022-35948 и CVE-2026-1527, но затрагивающий место записи заголовков (header sink), которое не было покрыто предыдущими исправлениями. Проблема устранена в версиях undici 6.28.0, 7.29.0 и 8.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.