CVE-2026-12151

Təsir: undici WebSocket kliyenti mesajdakı fraqmentlərin ümumi bayt sayına maxPayloadSize tətbiq edir, lakin fraqmentlərin sayına məhdudiyyət qoymur. Zərərli WebSocket serveri hər biri fərdi və ümumi ölçü yoxlamasından keçən çox sayda kiçik və ya boş davam etdirici kadrları (continuation frames) axınla ötürə bilər ki, bu da kliyent prosesində limitsiz yaddaş artımına səbəb olur. Nəticədə yaddaşın tükənməsi və xidmətdən imtina (DoS) baş verir. Təsirə məruz qalan tətbiqlər, hücumçu tərəfindən idarə olunan və ya kompromisə uğramış WebSocket son nöqtəsinə qoşulmağa sövq edilə bilən və undici WebSocket kliyentindən (new WebSocket(...)) və ya WebSocketStream API-dən istifadə edən proqramlardır. undici 6.17.0 versiyasından başlayaraq bütün buraxılışlar təsirlidir. Yamalalar: undici >= 6.26.0, >= 7.28.0 və ya >= 8.5.0 versiyalarına yüksəldin. Alternativ həllər: Heç bir alternativ həll mövcud deyil. Düzəliş yalnız yeniləmə vasitəsilə tətbiq edilməlidir.