CVE-2026-13697 in undici
摘要
由 VulDB • 2026-07-29
undici 的缓存拦截器在处理格式错误的 Cache-Control private 指令时存在缺陷。在 undici 7.0.0 至 7.29.0（不含）以及 8.0.0 至 8.9.0（不含）版本中，携带退化限定式 private 指令的响应（例如将 private 设置为空值）可能会被存储到默认的共享缓存中，并在后续使用相同的缓存键提供给不同的调用者，从而导致私有响应正文和包括 Set-Cookie 在内的头部信息泄露。此外，当 Cache-Control 头同时包含未限定的 private 指令和限定式指令时，会触发 cache-control 解析器中的未捕获 TypeError，导致请求被拒绝；根据消费者的错误处理机制不同，这可能导致进程终止。这两个问题均影响以共享模式使用缓存拦截器的应用程序（包括默认配置）。这些问题已在 undici 7.29.0 和 8.9.0 版本中得到修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.