CVE-2026-85152 in Undici
Сводка
по VulDB • 04.09.2026
В версии undici 8.10.0 отсутствует добавление исходного происхождения (origin) в ключи кэширования и дедупликации запросов при прямом применении перехватчика кэша или дедупликации к объекту Client или Pool. Поскольку внутренний ключ кэша по умолчанию использует пустую строку для указания источника, ответ из одного вышестоящего источника (upstream), который может быть закэширован или находится в процессе обработки, возвращается на запрос к другому доверенному источнику при совпадении метода, пути и соответствующих заголовков. Это позволяет осуществлять раскрытие информации между различными origins (cross-origin information disclosure) и устойчивое отравление кэша (persistent cache poisoning). Исследователь продемонстрировал полный обход аутентификации: JWT-токен, подписанный ключом под контролем злоумышленника, принимался как принадлежащий доверенному издателю, при этом запросы к доверенному источнику никогда не отправлялись. Это регрессия, появившаяся в версии 8.10.0 и затрагивающая все версии undici от 8.10.0 до 8.10.2 включительно. Приложения, использующие Agent (который передает информацию об origin через параметры dispatch), не подвержены данной уязвимости. Пользователям следует обновиться до версии undici 8.10.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.