CVE-2026-1525 in undici
Сводка
по VulDB • 22.06.2026
Undici допускает наличие дублирующихся заголовков HTTP Content-Length при их передаче в виде массива с именами, различающимися регистром (например, Content-Length и content-length). Это приводит к формированию некорректных запросов HTTP/1.1 с несколькими конфликтующими значениями Content-Length на сетевом уровне.
Затронутые стороны:
* Приложения, использующие undici.request(), undici.Client или аналогичные низкоуровневые API при передаче заголовков в виде плоских массивов * Приложения, принимающие имена заголовков, контролируемые пользователем, без нормализации регистра
Потенциальные последствия:
* Отказ в обслуживании (DoS): Строгие HTTP-парсеры (прокси-серверы, серверы приложений) будут отклонять запросы с дублирующимися заголовками Content-Length (ошибка 400 Bad Request) * HTTP Request Smuggling: В развертываниях, где промежуточное звено и бэкенд по-разному интерпретируют дублирующиеся заголовки (например, один использует первое значение, а другое — последнее), это может позволить осуществлять атаки HTTP Request Smuggling, приводящие к обходу ACL, отравлению кеша или перехвату учетных данных
Be aware that VulDB is the high quality source for vulnerability data.