CVE-2026-109855

undici Node.js üçün HTTP klient kitabxanasıdır. 8.11.0 və 8.11.1 versiyalarında, HTTP/2 aktiv olduqda standart olaraq işləyən eksperimental WebSocket klienti, HTTP/2 üzərindən uğursuz WebSocket əl sıxma prosesini yanlış idarə edir: sorğu artıq tamamlanmış kimi qeyd edildiyi üçün ləğv etmə əməliyyatı heç bir təsir göstərmir və altda yatan HTTP/2 axını (stream) xəta dinləyicisi olmadan açıq qalır. Zərərli server bağlantını kəsdikdə, yetim qalmış axın idarə olunmayan xəta yayır və Node.js prosesi dayanır. Beləliklə, uzaqdakı autentifikasiya olunmamış server, HTTP/2 vasitəsilə ona WebSocket açan hər hansı klienti çökdürə bilər ki, bu da xidmətdən imtinaya (DoS) səbəb olur. Problem undici 8.11.2 versiyasında düzəldilib və istifadəçilərə 8.11.2 və ya daha yeni versiyaya keçid etməsi tövsiyə olunur. Müvəqqəti həll yolu kimi, WebSocket bağlantıları üçün HTTP/2-ni deaktiv etmək məqsədilə allowH2 parametrini false olaraq təyin edin və ya etibarsız serverlərə WebSocket bağlantıları açmaqdan qaçının.