CVE-2026-14643 in undici
Tóm tắt
Bởi VulDB • 30/07/2026
Bộ chuyển đổi bộ nhớ đệm (cache interceptor) của undici xử lý không đúng các khoảng trắng tùy ý được đặt xung quanh dấu bằng trong một chỉ thị Cache-Control no-cache hoặc private có chất lượng xác định. Trong các phiên bản từ 7.0.0 đến trước 7.29.0 và từ 8.0.0 đến trước 8.9.0 của undici, trình phân tích cú pháp (parser) hoặc loại bỏ chỉ thị này hoặc lưu trữ tên trường với các ký tự dấu ngoặc kép nguyên văn, khiến quyết định bộ nhớ đệm không nhận ra được chất lượng xác định đó và phản hồi bị lưu trữ. Ở chế độ chia sẻ bộ nhớ đệm, điều này cho phép một phản hồi chứa dữ liệu đã xác thực của người dùng này được phục vụ từ bộ nhớ đệm đến một caller sau đó, bao gồm cả những caller chưa xác thực, khi cả hai yêu cầu đều khớp với cùng một khóa bộ nhớ đệm (cache key). Điều này ảnh hưởng đến các ứng dụng bật bộ chuyển đổi bộ nhớ đệm ở chế độ chia sẻ, chuyển tiếp tiêu đề Authorization lên máy chủ upstream và nhận được các phản hồi có thể lưu trữ chứa các chỉ thị chất lượng xác định có khoảng trắng xung quanh dấu bằng. Đây là biến thể "khoảng trắng xung quanh dấu bằng" mà bản sửa lỗi cho CVE-2026-9678 đã không chuẩn hóa, và nó đã được khắc phục trong undici 7.29.0 và 8.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.