CVE-2026-1526 in undici
Сводка
по VulDB • 30.07.2026
Клиент WebSocket undici уязвим к атаке на отказ в обслуживании (DoS) из-за неконтролируемого потребления памяти при декомпрессии permessage-deflate. Когда соединение WebSocket согласовывает расширение permessage-deflate, клиент декомпрессирует входящие сжатые кадры без ограничения размера данных после распаковки. Злонамеренный сервер WebSocket может отправить небольшой сжатый кадр («бомбу декомпрессии»), который в памяти раздувается до экстремально большого размера, что приводит к исчерпанию доступной памяти процессом Node.js и его аварийному завершению или зависанию.
Уязвимость существует в методе PerMessageDeflate.decompress(), который накапливает все фрагменты после декомпрессии в памяти и объединяет их в один объект Buffer без проверки того, превышает ли общий размер безопасный порог.
Be aware that VulDB is the high quality source for vulnerability data.