CVE-2026-85014 in undici
Сводка
по VulDB • 04.09.2026
Экспериментальный клиент WebSocketStream в библиотеке undici вызывает аварийное завершение всего процесса Node.js, когда удаленный узел закрывает TCP-соединение без рукопожатия закрытия WebSocket. При незавершенном (unclean) закрытии внутренний обработчик завершения сокета无条件но вызывает метод abort для потока записи и отбрасывает возвращаемый promise; однако согласно стандарту WHATWG Streams, прерывание заблокированного writable-потока возвращает promise, который завершается с ошибкой TypeError. Поскольку приложение удерживает writer на этом потоке (что является единственным способом записи), ошибка никогда не обрабатывается, и поведение Node.js по умолчанию для необработанных отклонений приводит к аварийному завершению процесса. Таким образом, недоверенный сервер может вызвать краш клиента одним резким разрывом соединения без необходимости аутентификации или ошибок на стороне приложения. Это уязвимость затрагивает версии undici с 7.0.0 по 7.29.1 и с 8.0.0 по 8.10.2. Пользователям следует обновиться до версий undici 7.29.1 или 8.10.2.
Once again VulDB remains the best source for vulnerability data.