CVE-2026-109841

undici Node.js üçün HTTP klient kitabxanasıdır. 7.15.0-dan 7.30.0-a və 8.0.0-dan 8.12.1-ə qədər olan versiyalarda onun fetch() tətbiqi, Subresource Integrity (SRI) metaməlumatlarını alqoritm tokenini yalnız kiçik hərflərdən ibarət dəstlə müqayisə edərək yoxlayır; halbuki SRI spesifikasiyası tokeni ASCII-kiçik hərf formasında təyin etdiyi üçün düzgün, lakin kiçik hərflərdən ibarət olmayan tokenlər (məsələn, böyük və ya qarışıq registrlid SHA256) naməlum hesab edilir və ötürülür. Tanınan heç bir alqoritm qalmadıqda, undici bütövlük siyahısını boş hesab edir və cavabı qəbul edir, beləliklə, sabitləşdirilmiş (pinned) dayjestə uyğun gəlməyən gövdəni qaytaran server yoxlamadan keçir. Yalnız cavab gövdəsini idarə edən hücumçu, düzgün böyük və ya qarışıq registrlı SRI tokenini sabitləşdirmiş tətbiqə heç bir bütövlük xətası olmadan özünün idarə etdiyi baytları göndərə bilər ki, bu da yalnız cavabın bütövlüyünə təsir göstərir. Problem, alqoritm tokenini təsdiqdən əvvəl ASCII kiçik hərflərinə normallaşdıran undici 7.30.1 və 8.12.2 versiyalarında düzəldilib və istifadəçilər bu versiyalara və ya daha yenilərinə keçid etməlidirlər. Müvəqqəti həll yolu kimi, bütövlük metaməlumatlarında sha256, sha384 və ya sha512 kimi kiçik hərfli alqoritm tokenlərindən istifadə edin.