CVE-2026-85008

undici-nin keş interceptoru yalnız təhlükəsiz HTTP metodlarının keşləndiyini sənədləşdirir, lakin keşləməni ötürmək üçün istifadə etdiyi məntiq konfiqurasiya edilmiş metodların təhlükəsiz metodlar çoxluğundan çıxarılmasına əsaslanır. Buna görə də POST, PUT və ya DELETE kimi təhlükəsiz olmayan metodlar heç vaxt ötürüləcəklər siyahısına daxil edilmir və bunun əvəzinə tam keş oxuma yoluna yönəlir. Cavab saxlama (response-storage) qapısında da metod yoxlaması mövcud deyildi, buna görə də evristik olaraq keşlənə bilən və ya açıq şəkildə Cache-Control direktivi olan təhlükəsiz olmayan sorğuya verilmiş cavab saxlanılır və sonradan keşdən təkrar oxunur. Uzaq mənbədən gələn cavab başlıqları etibarlı olmadığı üçün, mənbə bir dəfə keşlənə bilən statusla cavab verə bilər və bundan sonra həmin yola göndərilən və vəziyyəti dəyişdirən müştəri sorğuları mənbəyə çatmadan köhnəlmiş keş yazısından təmin edilir; bu, interceptorun standart konfiqurasiyasında baş verən bütövlüyün pozulmasıdır. Bu problem undici-nin 7.0.0-dan 7.29.1-ə qədər və 8.0.0-dan 8.10.2-yə qədər olan versiyalarına təsir edir. İstifadəçilər undici 7.29.1 və ya 8.10.2 versiyasına yüksəltmə etməlidirlər.