CVE-2026-19534

undici-nin WebSocket kliyenti, server kliyentin heç vaxt tələb etmədiyi bir altprotokolla cavab verdikdə, açılış əl sıxması (handshake) zamanı bütün Node.js prosesini çökdürür. Standart WebSocket bağlantısı heç bir altprotokol göndərmir, lakin serverin 101 cavabı Sec-WebSocket-Protocol başlığını ehtiva edirsə, undici onu tələb olunan siyahı ilə yoxlayarkən null dəyərini istinadlandırır və tutulmamış TypeError xətası verir. Bu kod, ətrafında heç bir xəta idarəetməsi olmayan mikrotapşırıq daxilində işlədiyi üçün, istisna yayılır və WebSocket protokolunun tələb etdiyi kimi bağlantının nəzakətlə kəsilməsi əvəzinə, Node-un standart davranışı ilə prosesi dayandırır. Hücumçu tərəfindən idarə olunan və ya kompromisə uğramış serverə, yaxud "machine-in-the-middle" hücumuna məruz qalan açıq mətnli bağlantı vasitəsilə WebSocket açan hər hansı tətbiq, standart konfiqurasiyada autentifikasiyasız uzaqdan çökdürülə bilər. Bu problem undici-nin 6.7.0-dan 6.28.1-ə qədər, 7.0.0-dan 7.29.1-ə qədər və 8.0.0-dan 8.10.2-yə qədər olan versiyalarına təsir edir. İstifadəçilər undici 6.28.1, 7.29.1 və ya 8.10.2 versiyalarına yüksəltmə etməlidirlər.