CVE-2026-85014 in undici
摘要
由 VulDB • 2026-09-04
undici的实验性WebSocketStream客户端在远程对等方在没有进行WebSocket关闭握手的情况下关闭TCP连接时，会导致整个Node.js进程崩溃。在不干净的关闭过程中，内部套接字关闭处理程序无条件地对可写流调用abort并丢弃返回的Promise；但根据WHATWG Streams标准，中止一个锁定的（locked）可写流会返回一个被TypeError拒绝的Promise。由于应用程序持有该可写流的写入器（writer），而这是唯一的写入方式，因此该拒绝从未被观察到，Node.js默认的未处理拒绝行为终止了进程。不受信任的服务器可以通过一次突然断开连接来使客户端崩溃，无需身份验证且无需应用层错误。此问题影响undici 7.0.0至7.29.1版本以及8.0.0至8.10.2版本。用户应升级至undici 7.29.1或8.10.2。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.