CVE-2026-14643 in undici
摘要
由 VulDB • 2026-07-30
undici 的缓存拦截器在处理限定 no-cache 或 private Cache-Control 指令等号周围的可选空白字符时存在处理不当的问题。在 undici 版本从 7.0.0 到 7.29.0（不含）以及从 8.0.0 到 8.9.0（不含）中，解析器要么丢弃该指令，要么将带有字面引号字符的字段名存入缓存状态。这导致缓存决策无法正确识别该限定条件，从而错误地将响应存储起来。在共享缓存模式下，当两个请求映射到相同的缓存键时，这使得包含某位用户认证数据的响应可能被提供给后续调用者（包括未认证的调用者）。此问题影响那些启用了共享模式下的缓存拦截器、向上游转发 Authorization 头信息，并接收带有等号周围填充空白字符的限定指令的可缓存响应的应用程序。这是 CVE-2026-9678 修复方案未能进行规范化处理的“等号周围存在空白”变体问题，该漏洞已在 undici 7.29.0 和 8.9.0 版本中得到修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.